Program za razkritje ranljivosti
LiveAgent si prizadeva, da bi bila njegova storitev varna za vse, pri čemer je varnost podatkov najvišja prioriteta. Naš program za razkritje ranljivosti je namenjen čim večjemu zmanjšanju vpliva morebitnih varnostnih pomanjkljivosti na naša orodja ali njihove uporabnike. LiveAgentov program za razkritje ranljivosti zajema programsko opremo, ki je delno ali v celoti napisana s strani podjetja Quality Unit.
Če ste varnostni raziskovalec in ste odkrili varnostno ranljivost v naši storitvi, cenimo, da nam jo zaupate zasebno in nam omogočite, da napako odpravimo, še preden so tehnične podrobnosti javno objavljene.
LiveAgent bo sodeloval z varnostnimi raziskovalci, ko bodo ranljivosti prijavljene na način, opisan tukaj. Ranljivosti bomo preverili, odgovorili in jih odpravili v podporo naši zavezanosti k varnosti in zasebnosti. Ne bomo sprožili pravnih postopkov, začasno onemogočili ali ukinili dostopa do storitve tistim, ki odgovorno odkrijejo in prijavijo varnostne ranljivosti. LiveAgent si pridržuje vse pravice v primeru kakršnekoli neupoštevanja pravil.
Prijava
Podrobnosti o sumljivih ranljivostih delite z razvojno ekipo LiveAgent na naslov support@liveagent.com . Prosimo vas, da teh podrobnosti ne razkrivate javnosti izven tega postopka brez izrecnega dovoljenja.
Pri prijavi sumljivih ranljivosti vključite čim več informacij. Če želite oddati več prijav hkrati, prosimo, da pošljete le eno prijavo (najpomembnejšo, če je mogoče) in počakate na odgovor.
Nagrade
Z veseljem ponujamo nagrado za informacije o ranljivostih, ki nam pomagajo zaščititi naše stranke, kot zahvalo varnostnim raziskovalcem, ki se odločijo sodelovati v našem programu nagrajevanja za ranljivosti. Standardna nagrada znaša 100 $ na ranljivost, ki jo odda in potrdi naša razvojna ekipa.
Nagrade bomo podelili le prvemu prijavitelju posamezne ranljivosti. Dvojne/ponovljene prijave ne bodo nagrajene.
Obseg
Testirati smete le na LiveAgent računu, katerega lastnik ste ali ste agent, ki ga je lastnik računa pooblastil za takšno testiranje. Na primer:
- vašadomena.ladesk.com
Nagrajene vrste ranljivosti
Nagrajeni boste za naslednje vrste ranljivosti:
- Oddaljeno izvajanje ukazov (RCE)
- SQL vbrizgavanje (SQL Injection)
- Nepravilno preverjanje pristnosti
- Nepravilno upravljanje sej
- Obhod nadzora dostopa
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Odprto preusmerjanje URL
- Prečkanje map (Directory Traversal)
Opomba: Prijave, kjer lahko napadalec ogrozi le lasten račun z administratorsko vlogo, ne bodo nagrajene. XSS, ki ga povzroči administrator, prav tako ne bo nagrajen.
Da bi bila prijava upravičena, mora ranljivost obstajati v zadnji javni izdaji (vključno z uradno izdanimi javnimi betami) programske opreme. Upravičene so le varnostne ranljivosti. Veseli bomo tudi prijav drugih napak prek ustreznih kanalov, vendar je namen tega programa odpravljanje varnostnih ranljivosti, zato bodo za nagrade upoštevane le napake, ki vodijo do varnostnih ranljivosti. O drugih napakah odločamo po lastni presoji.
Smernice
Za upravičenost do nagrad v okviru tega programa za razkritje se držite naslednjih smernic:
- Ne spreminjajte ali trajno brišite podatkov, ki jih gosti LiveAgent.
- Namenoma ne dostopajte do nejavnih podatkov LiveAgent v večji meri, kot je potrebno za prikaz ranljivosti.
- Ne izvajajte DDoS napadov ali na kakršen koli način ne motite, prekinjate ali slabšate naših notranjih ali zunanjih storitev.
- Ne delite zaupnih informacij, pridobljenih od LiveAgent, vključno vendar ne omejeno na podatke o plačilih članov ali donatorjev, s tretjimi osebami.
- Socialni inženiring ni dovoljen. Ne pošiljajte phishing e-pošte ali uporabljajte drugih tehnik socialnega inženiringa proti komurkoli, vključno z zaposlenimi pri QualityUnit, člani, dobavitelji ali partnerji.
Poleg tega nam, prosimo, dovolite vsaj 90 dni za odpravo ranljivosti, preden o njej javno razpravljate ali pišete. Naša ekipa verjame, da imajo varnostni raziskovalci pravico poročati o svojem raziskovanju in da je razkritje zelo koristno, hkrati pa se zaveda, da je vprašanje, kdaj in kako zadržati podrobnosti, da se zmanjša tveganje zlorabe informacij o ranljivostih, zelo subjektivno. Če menite, da je prejše razkritje nujno, nam to sporočite, da lahko začnemo pogovor.
Dnevnik sprememb
O vseh odpravljenih varnostnih težavah javno obveščamo preko našega dnevnika sprememb . Težave, povezane z varnostjo, so označene z oznako [Security].
