Ang pahinang ito ay isang courtesy translation. Kung may pagkakaiba ito sa bersyong Ingles, ang bersyong Ingles ang masusunod. Basahin ang bersyong Ingles
Responsible disclosure
May nakita kayong problema sa seguridad? Sabihin muna sa amin bago pa ito malaman ng iba sa mahirap na paraan.
Sineseryoso namin ang mga ulat mula sa mga external researcher at mas gusto naming marinig ito nang direkta mula sa inyo kaysa makakita ng write-up pagkatapos ng insidente. Inilalahad ng pahinang ito kung ano ang saklaw, paano mag-ulat, at ano ang maaasahan ninyo mula sa amin.
Saklaw
Ano ang saklaw ng patakarang ito.
Saklaw
- myshieldid.com at ang mga US page nito sa myshieldid.com/us, ang mga forwarding domain na shieldid.ca at myshieldid.ca, at ang kanilang mga subdomain, kasama ang marketing site, ang verification flow at ang account portal
- Ang pampublikong ShieldID API
- Authentication, session handling at access control sa anumang sistemang pinapatakbo ng ShieldID
Hindi saklaw
- Mga produkto at site na hindi namin pinapatakbo, kahit gumagamit ang mga ito ng ShieldID (may sarili nilang security contact ang RentKey, Crown Ledger at Trust Ledger)
- Mga third-party na serbisyong ini-integrate namin, maliban kung ang isyu ay nasa paraan ng paggamit namin sa mga ito
Paano mag-ulat
Mag-email sa amin. Huwag munang mag-file ng pampublikong issue o mag-post.
Send a report to [email protected] with as much detail as you can, and give us a reasonable window to respond before disclosing publicly.
Mangyaring isama ang:
- Ang uri ng isyu at ang apektadong URL, endpoint o sistema
- Mga hakbang para ma-reproduce ito, o isang proof of concept
- Ang naabot o nagawa ninyo, at kung paano ninyo ito nakumpirma
- Anumang tool o script na ginamit, para ma-reproduce namin nang eksakto ang inyong mga hakbang
Ang ipinapangako namin
Isang acknowledgement, tunay na pagsusuri, at walang legal na problema para sa pananaliksik na may mabuting hangarin.
Acknowledgement
Layunin naming i-acknowledge ang valid na ulat sa loob ng tatlong business day mula nang matanggap ito. Isa itong target na inilalahad namin sa publiko, hindi sinukat na average.
Tunay na imbestigasyon
Bawat ulat ay sinusuri ng taong may kakayahang kumilos dito, hindi sinasala ng isang form na walang patutunguhan.
Walang legal na aksyon para sa pananaliksik na may mabuting hangarin
Kung makakita at mag-ulat kayo ng vulnerability nang may mabuting hangarin, sa loob ng saklaw ng patakarang ito, at nang hindi nag-a-access, nagbabago o nag-e-exfiltrate ng data nang higit sa kailangan para ipakita ang isyu, hindi kami magsasampa ng legal na aksyon laban sa inyo dahil sa pananaliksik na iyon.
Walang bug bounty sa ngayon
Wala kaming bayad na bug-bounty program sa kasalukuyan. Hindi kami mangangako ng gantimpalang hindi namin kayang panindigan, pero ipinapangako naming babasahin at kikilos kami batay sa ipapadala ninyo.
Hindi saklaw
Pakiusap, huwag gawin ang alinman sa mga sumusunod bilang bahagi ng ulat.
- Social engineering sa aming mga staff, contractor o customer
- Pisikal na pagtatangkang pumasok sa aming mga opisina o imprastraktura
- Denial-of-service testing, o anumang makakasira sa serbisyo para sa mga totoong applicant
- Automated scanning sa dami na maaaring makaapekto sa ibang user, nang hindi muna nagtatanong sa amin
- Pag-access, pagbago o pagbura ng data ng ibang tao nang higit sa kailangan para ipakita ang isyu
- Spam, phishing o anumang pagtatangkang subukin ang sariling paghuhusga ng aming staff sa halip na ang sistema
Safe harbour
Malugod na tinatanggap ang pananaliksik na ginawa nang may mabuting hangarin at alinsunod sa patakarang ito.
Itinuturing naming awtorisado ang security research na isinagawa alinsunod sa patakarang ito, at hindi kami magsasampa ng legal na aksyon para sa pananaliksik na iyon. Pangkalahatang safe-harbour na pahayag ito, hindi kapalit ng legal na payo na akma sa inyong sitwasyon — kung hindi kayo sigurado kung saklaw ang isang bagay, magtanong muna sa amin bago ito subukan.
Mga Tanong
Diretsahang sagot tungkol sa pag-uulat ng vulnerability.
Handa nang mag-ulat?
Email [email protected] with what you found.
Isama ang mga hakbang para ma-reproduce ito at kung ano ang naabot ninyo. Kami na ang bahala mula roon.