이 페이지는 참고용 번역본입니다. 영문 버전과 내용이 다를 경우 영문 버전이 우선합니다. 영문 버전 보기
책임 있는 취약점 신고
보안 문제를 발견하셨나요? 다른 누군가가 어려움을 겪으며 알게 되기 전에 저희에게 먼저 알려 주세요.
저희는 외부 연구자의 제보를 진지하게 받아들이며, 사후에 올라온 글을 보기보다 직접 제보를 받고 싶습니다. 이 페이지에서는 대상 범위, 제보 방법, 그리고 제보 후 기대하실 수 있는 사항을 안내합니다.
범위
이 정책이 적용되는 범위입니다.
범위 내
- myshieldid.com과 myshieldid.com/us의 미국 페이지, 포워딩 도메인 shieldid.ca 및 myshieldid.ca, 그리고 마케팅 사이트, 인증 흐름, 계정 포털을 포함한 하위 도메인
- 공개 ShieldID API
- ShieldID가 운영하는 모든 시스템의 인증, 세션 처리 및 접근 제어
대상 제외
- 저희가 운영하지 않는 제품과 사이트(ShieldID를 사용하더라도 해당됩니다. RentKey, Crown Ledger, Trust Ledger는 각자의 보안 연락처가 있습니다)
- 저희가 연동하는 서드파티 서비스(단, 저희가 해당 서비스를 사용하는 방식에 문제가 있는 경우는 제외)
제보 방법
이메일로 보내 주세요. 먼저 공개 이슈를 등록하거나 게시글을 올리지 마세요.
Send a report to [email protected] with as much detail as you can, and give us a reasonable window to respond before disclosing publicly.
다음 내용을 포함해 주세요:
- 문제 유형과 영향을 받는 URL, 엔드포인트 또는 시스템
- 재현 단계 또는 개념 증명(PoC)
- 접근하거나 달성할 수 있었던 내용과 이를 확인한 방법
- 사용한 도구나 스크립트(저희가 동일하게 재현할 수 있도록)
저희의 약속
접수 확인, 성실한 검토, 그리고 선의의 연구에 대한 법적 불이익 없음.
접수 확인
유효한 제보는 접수 후 영업일 기준 3일 이내에 확인하는 것을 목표로 합니다. 이는 측정된 평균이 아니라 저희가 공개적으로 밝히는 목표입니다.
실질적인 조사
모든 제보는 어디로도 연결되지 않는 양식에서 걸러지지 않고, 조치를 취할 수 있는 담당자가 직접 검토합니다.
선의의 연구에 대한 법적 조치 없음
이 정책의 범위 안에서 선의로 취약점을 발견하여 제보하시고, 문제를 입증하는 데 필요한 범위를 넘어 데이터에 접근하거나 수정하거나 유출하지 않으신다면, 해당 연구에 대해 법적 조치를 취하지 않겠습니다.
현재 버그 바운티 없음
현재 유료 버그 바운티 프로그램은 운영하지 않습니다. 지킬 수 없는 보상을 약속드리지는 않지만, 보내 주신 내용을 읽고 조치하겠다는 약속은 드립니다.
대상 제외
제보 과정에서 다음 행위는 하지 말아 주세요.
- 저희 직원, 계약자 또는 고객을 대상으로 한 사회공학 공격
- 저희 사무실이나 인프라에 물리적으로 접근하려는 시도
- 서비스 거부 테스트 또는 실제 신청자에게 서비스 저하를 일으키는 모든 행위
- 다른 사용자에게 영향을 줄 수 있는 규모의 자동 스캔(사전 문의 없이 수행하는 경우)
- 문제를 입증하는 데 필요한 범위를 넘어 다른 사람의 데이터에 접근하거나 수정하거나 삭제하는 행위
- 스팸, 피싱, 또는 시스템이 아니라 당사 직원의 판단력을 시험하려는 모든 시도
세이프 하버
이 정책 범위 안에서 선의로 진행한 연구를 환영합니다.
저희는 이 정책에 따라 수행된 보안 연구를 허가된 것으로 간주하며, 해당 연구에 대해 법적 조치를 시작하지 않겠습니다. 이는 일반적인 세이프 하버 문구이며, 개별 상황에 맞는 법률 자문을 대체하지 않습니다. 어떤 것이 범위에 포함되는지 확실하지 않다면 테스트하기 전에 먼저 문의해 주세요.
문의
취약점 신고에 대한 솔직한 답변입니다.
제보할 준비가 되셨나요?
Email [email protected] with what you found.
재현 단계와 접근할 수 있었던 내용을 함께 보내 주세요. 나머지는 저희가 처리하겠습니다.