Polityka ujawniania luk w zabezpieczeniach

Nasze zobowiązanie

Poważnie traktujemy bezpieczeństwo naszych użytkowników i ich danych. Z zadowoleniem przyjmujemy zgłoszenia od badaczy bezpieczeństwa i będziemy z Państwem współpracować, aby szybko zrozumieć i rozwiązać każdy problem. Nie będziemy podejmować wobec Państwa kroków prawnych w związku z badaniami bezpieczeństwa przeprowadzonymi w dobrej wierze zgodnie z niniejszą polityką.

Zakres

W zakresie

• ahaslides.com i jego subdomen (na przykład presenter.ahaslides.com oraz publiczność.ahaslides.com)
• Aplikacja internetowa AhaSlides, aplikacje dla prezenterów i odbiorców

Poza zakresem

• Testy odmowy usługi (DoS/DDoS) oraz testy wolumetryczne lub testy zalewu ruchu
• Inżynieria społeczna personelu, użytkowników lub kontrahentów; ataki fizyczne
• Spam lub wyniki uzyskane ze skanerów automatycznych, które nie mają udowodnionego, możliwego do wykorzystania wpływu
• Raporty dotyczą wyłącznie nieobsługiwanych lub wycofanych z eksploatacji przeglądarek
• Usługi stron trzecich, nad którymi nie sprawujemy kontroli (zgłoś je stronie trzeciej)
• Otwarty (nieuwierzytelniony) dostęp dla publiczności: aplikacja dla publiczności celowo pozwala każdemu dołączyć do prezentacji i przesłać odpowiedzi bez konta ani logowania, aby publiczność mogła swobodnie uczestniczyć w dyskusji. Zgłoszenia o braku uwierzytelnienia w procesie dołączania lub przesyłania odpowiedzi nie są traktowane jako luki w zabezpieczeniach.
• Sugestie dotyczące najlepszych praktyk, które nie wpływają na bezpieczeństwo (na przykład brakujące nagłówki bez exploitów, drobne problemy z SPF/DMARC, samoczynny atak XSS, opinie ograniczające przepustowość). Są one mile widziane, ale nie są traktowane jako luki w zabezpieczeniach.

Rules of Engagement

Proszę do:

• Zgłoś problem natychmiast po jego znalezieniu i daj nam rozsądny czas na jego rozwiązanie, zanim ujawnisz go publicznie.
• Używaj tylko własnych kont testowych. Zatrzymaj się na dowodzie koncepcji.

Proszę nie:

• Uzyskuj dostęp, modyfikuj, pobieraj lub usuwaj dane, które nie należą do Ciebie. Aby udowodnić dostęp, wystarczy zrzut ekranu lub minimalny, zredagowany zapis, więc nie ujawniaj prawdziwych danych użytkownika.
• Osłabiać lub przerywać działanie naszych usług lub przeprowadzać zautomatyzowane ataki na dużą skalę.
• Ujawnij publicznie problem zanim potwierdzimy jego rozwiązanie (zobacz Skoordynowane ujawnianie informacji).

Jak zgłosić

Email security@ahaslides.com z:

1. Dokładny opis podatności i jej wpływu.
2. Szczegółowe odtworzenie, obejmujące adres URL lub punkt końcowy, którego dotyczy problem.
3. Dowód koncepcji (zrzuty ekranu, krótki film lub minimalna prośba), ocenzurowany.
4. Twoje imię i nazwisko lub pseudonim (opcjonalnie).

Czego możesz od nas oczekiwać

• Potwierdzenie w ciągu 2 dni robocze.
• A decyzja o triażu (ważny, wymaga więcej informacji lub poza zakresem) w 5 dni robocze.
• Regularne aktualizacje w trakcie pracy nad poprawką i powiadomienie o jej rozwiązaniu.
• Jeśli sobie tego życzysz, możesz skorzystać z publicznego potwierdzenia bezpieczeństwa.

Skoordynowane ujawnianie informacji

Prosimy o zachowanie poufności szczegółów do czasu potwierdzenia wdrożenia poprawki i skoordynowanie z nami wszelkich publicznych działań naprawczych. Nasz docelowy termin naprawy to 90 dni; jeśli będziemy potrzebować więcej czasu, poinformujemy Cię dlaczego.

Uznanie

AhaSlides to rozwijająca się firma, która nie prowadzi stałego, publikowanego, płatnego programu premiowego. Jeśli raport jest rzetelny, oryginalny i ujawniony w sposób odpowiedzialny, możemy, według własnego uznania, zaoferować dowód uznania i/lub publiczne uznanie jako podziękowanie.

Duplikaty raportów. W przypadku, gdy kilka osób zgłasza ten sam problem, pierwszy możliwy do odtworzenia raport, jaki otrzymamy jest uprawniony do otrzymania nagrody. Późniejsi reporterzy tego samego problemu mogą nadal otrzymać uznanie publiczne, jeśli dodadzą istotne nowe informacje (na przykład o poważniejszym uderzeniu, lepszej reprodukcji lub dodatkowej uszkodzonej powierzchni).

Problemy już znane. Jeśli problem jest już znany i został zarejestrowany wewnętrznie przed otrzymaniem zgłoszenia, nadal je potwierdzimy i podziękujemy, ale nie będzie ono kwalifikować się do nagrody. Podobnie jak w przypadku duplikatów, możemy przyznać punkty publiczne, jeśli zgłoszenie doda istotne nowe informacje.

Zawsze jesteśmy wdzięczni za pomoc w dbaniu o bezpieczeństwo AhaSlides.