Ta strona jest tłumaczeniem pomocniczym. W razie rozbieżności z wersją angielską rozstrzygająca jest wersja angielska. Przeczytaj wersję angielską
Odpowiedzialne ujawnianie podatności
Znaleźli Państwo lukę w zabezpieczeniach? Prosimy powiedzieć nam o tym, zanim ktokolwiek inny przekona się o niej w najgorszy możliwy sposób.
Poważnie traktujemy zgłoszenia od zewnętrznych badaczy i wolimy usłyszeć o problemie bezpośrednio od Państwa, niż natrafić na opis po fakcie. Ta strona określa, co jest objęte zakresem, jak zgłaszać problemy i czego mogą Państwo od nas oczekiwać.
Zakres
Co obejmuje ta polityka.
W zakresie
- myshieldid.com i jego strony dla USA pod adresem myshieldid.com/us, domeny przekierowujące shieldid.ca i myshieldid.ca oraz ich subdomeny, w tym witryna marketingowa, proces weryfikacji i portal konta
- Publiczne API ShieldID
- Uwierzytelnianie, obsługa sesji i kontrola dostępu w każdym systemie obsługiwanym przez ShieldID
Poza zakresem
- Produkty i witryny, których nie obsługujemy, nawet jeśli korzystają z ShieldID (RentKey, Crown Ledger i Trust Ledger mają własne kontakty ds. bezpieczeństwa)
- Usługi podmiotów trzecich, z którymi się integrujemy, chyba że problem dotyczy sposobu, w jaki z nich korzystamy
Jak zgłaszać
Prosimy napisać do nas e-mail. Prosimy nie zgłaszać problemu publicznie ani nie publikować go wcześniej.
Send a report to [email protected] with as much detail as you can, and give us a reasonable window to respond before disclosing publicly.
Prosimy o podanie:
- Rodzaj problemu oraz dotknięty nim adres URL, punkt końcowy lub system
- Kroki umożliwiające odtworzenie problemu lub dowód koncepcji (proof of concept)
- Do czego udało się Państwu uzyskać dostęp lub co osiągnąć oraz w jaki sposób Państwo to potwierdzili
- Wszelkie użyte narzędzia lub skrypty, abyśmy mogli dokładnie odtworzyć Państwa kroki
Co obiecujemy
Potwierdzenie odbioru, rzetelna analiza i brak problemów prawnych w przypadku badań prowadzonych w dobrej wierze.
Potwierdzenie odbioru
Staramy się potwierdzić odbiór prawidłowego zgłoszenia w ciągu trzech dni roboczych od jego otrzymania. Jest to cel, który deklarujemy publicznie, a nie zmierzona średnia.
Rzetelne dochodzenie
Każde zgłoszenie analizuje osoba, która może podjąć działania, a nie formularz, który donikąd nie prowadzi.
Brak kroków prawnych wobec badań prowadzonych w dobrej wierze
Jeśli Państwo znajdą i zgłoszą lukę w dobrej wierze, w zakresie tej polityki i bez uzyskiwania dostępu do danych, ich modyfikowania lub eksfiltracji poza to, co niezbędne do wykazania problemu, nie podejmiemy wobec Państwa kroków prawnych w związku z tymi badaniami.
Obecnie brak programu bug bounty
Obecnie nie prowadzimy płatnego programu bug bounty. Nie obiecujemy nagrody, do której nie możemy się zobowiązać, ale obiecujemy przeczytać to, co Państwo nam przyślą, i podjąć odpowiednie działania.
Poza zakresem
Prosimy nie podejmować żadnego z poniższych działań w ramach zgłoszenia.
- Stosowanie socjotechniki wobec naszych pracowników, podwykonawców lub klientów
- Fizyczne próby uzyskania dostępu do naszych biur lub infrastruktury
- Testy typu odmowa usługi (DoS) lub cokolwiek, co pogarsza działanie usługi dla rzeczywistych wnioskodawców
- Automatyczne skanowanie na skalę, która mogłaby wpłynąć na innych użytkowników, bez uprzedniego zapytania nas
- Uzyskiwanie dostępu do danych innej osoby, ich modyfikowanie lub usuwanie poza tym, co konieczne do wykazania problemu
- Spam, phishing lub jakiekolwiek próby sprawdzania osądu naszych pracowników zamiast systemu
Bezpieczna przystań
Badania prowadzone w dobrej wierze, w ramach tej polityki, są mile widziane.
Uznajemy badania bezpieczeństwa prowadzone zgodnie z tą polityką za autoryzowane i nie podejmiemy wobec nich kroków prawnych. Jest to ogólne sformułowanie typu safe harbour, a nie zamiennik porady prawnej dotyczącej Państwa konkretnej sytuacji — jeśli nie mają Państwo pewności, czy coś mieści się w zakresie, prosimy zapytać nas przed rozpoczęciem testów.
Pytania
Konkretne odpowiedzi o zgłaszaniu luk w zabezpieczeniach.
Chcą Państwo wysłać zgłoszenie?
Email [email protected] with what you found.
Prosimy dołączyć kroki umożliwiające odtworzenie problemu oraz informację, do czego udało się Państwu uzyskać dostęp. Resztą zajmiemy się my.