Pažeidžiamumo atskleidimo politika

Mūsų įsipareigojimas

Mes rimtai žiūrime į savo naudotojų ir jų duomenų saugumą. Laukiame pranešimų iš saugumo tyrėjų ir bendradarbiausime su jumis, kad greitai suprastume ir išspręstume bet kokią problemą. Nesiimsime teisinių veiksmų prieš jus dėl sąžiningai pagal šią politiką atliktų saugumo tyrimų.

Apimtis

Taikymo sritis

• ahaslides.com ir jo subdomenai (pvz. vedėjas.ahaslides.com bei auditorija.ahaslides.com)
• „AhaSlides“ žiniatinklio programa, pranešėjų ir auditorijos programėlės

Viršija apimtis

• Paslaugų trikdymo (DoS/DDoS) ir tūrinio arba srauto perpildymo testai
• Socialinė inžinerija prieš darbuotojus, naudotojus ar rangovus; fiziniai išpuoliai
• Šlamštas arba automatinių skaitytuvų rezultatai be įrodyto, išnaudojamo poveikio
• Ataskaitos, susijusios tik su nepalaikomomis arba nebenaudojamomis naršyklėmis
• Trečiųjų šalių paslaugos, kurių nekontroliuojame (jas kelti trečiosios šalies vardu)
• Atvira (neautentifikuota) auditorijos prieiga: auditorijos programėlė sąmoningai leidžia visiems prisijungti prie pristatymo ir pateikti atsakymus be paskyros ar prisijungimo, kad auditorija galėtų laisvai dalyvauti. Pranešimai apie auditorijos prisijungimo ar pateikimo srauto neautentifikavimą nelaikomi pažeidžiamumais.
• Geriausios praktikos pasiūlymai, neturintys poveikio saugumui (pvz., trūkstamos antraštės be spragų išnaudojimo, SPF/DMARC smulkmenos, savarankiškas XSS, greičio ribojimo nuomonės). Jie yra laukiami, bet nelaikomi pažeidžiamumais.

Taisyklės užmušant

Prašom do:

• Praneškite, kai tik pastebėsite problemą, ir prieš viešai ją atskleisdami suteikite mums pakankamai laiko jai išspręsti.
• Naudokite tik savo bandomąsias paskyras. Apsiribokite koncepcijos įrodymu.

Prašom ne:

• Pasiekite, modifikuokite, atsisiųskite arba ištrinkite duomenis, kurie nėra jūsų pačių. Prieigos įrodymui pakanka ekrano kopijos arba minimalaus, redaguoto įrašo, todėl nefiltruokite realių naudotojų duomenų.
• Sumažinti arba nutraukti mūsų paslaugas arba vykdyti automatines didelio masto atakas.
• Viešai atskleiskite problemą prieš mums patvirtinant, kad ji išspręsta (žr. Koordinuotas atskleidimas).

Kaip pranešti

El.pašto adresas security@ahaslides.com su:

1. Aiškus pažeidžiamumo ir jo poveikio aprašymas.
2. Žingsnis po žingsnio atkūrimas, įskaitant paveiktą URL arba galinį tašką.
3. Koncepcijos įrodymas (ekrano kopijos, trumpas vaizdo įrašas arba minimalus prašymas), redaguotas.
4. Jūsų vardas arba vartotojo vardas (nebūtina).

Ko galite tikėtis iš mūsų

• Patvirtinimas per 2 darbo dienas.
• A triažo sprendimas (galioja, reikia daugiau informacijos arba neatitinka taikymo srities) 5 darbo dienas.
• Reguliarūs atnaujinimai, kol dirbame ties taisymu, ir pranešame, kai problema išspręsta.
• Jei pageidaujate, nurodykite viešą autorių mūsų saugumo patvirtinimuose.

Koordinuotas atskleidimas

Prašome laikyti informaciją konfidencialia, kol patvirtinsime, kad įdiegtas pataisymas, ir suderinti su mumis bet kokį viešą pranešimą. Mūsų tikslinis taisomųjų veiksmų laikotarpis yra 90 diena (-os/-ų); jei reikės ilgiau, pasakysime, kodėl.

Pripažinimas

„AhaSlides“ yra auganti įmonė ir nevykdo fiksuotos, skelbiamos mokamos premijų programos. Jei ataskaita yra pagrįsta, originali ir atsakingai atskleista, savo nuožiūra galime pasiūlyti padėkos ženklą ir (arba) viešą pripažinimą kaip padėką.

Pasikartojančios ataskaitos. Kai keli žmonės praneša apie tą pačią problemą, pirmoji atkuriama ataskaita, kurią gauname yra tas, kuris turi teisę į atlygį. Vėlesni to paties numerio pranešėjai vis tiek gali būti viešai pripažinti, jei prideda iš esmės naujos informacijos (pavyzdžiui, didesnį poveikį, geresnę reprodukciją ar papildomą paveiktą paviršių).

Jau žinomos problemos. Jei jau žinome apie problemą ir ją užregistruojame viduje prieš gaunant jūsų ataskaitą, vis tiek jus įvertinsime ir padėkosime, tačiau už ją nebus skiriamas atlygis. Kaip ir dublikatų atveju, galime pasiūlyti viešą įvertinimą, jei jūsų ataskaitoje pateikiama iš esmės naujos informacijos.

Esame visada dėkingi už jūsų pagalbą saugant „AhaSlides“.