Υπεύθυνη αποκάλυψη για υπηρεσίες DediStart.

Επισκόπηση

Κανένα σύστημα παραγωγής δεν είναι τέλειο, και ο έλεγχος ασφαλείας από έμπειρους ερευνητές μπορεί να είναι πολύτιμος όταν διεξάγεται υπεύθυνα. Αν πιστεύετε ότι εντοπίσατε ευπάθεια που επηρεάζει προϊόν, υπηρεσία ή ιστότοπο DediStart, αναφέρτε την μέσω του δημοσιευμένου καναλιού παρακάτω.

Το πρόγραμμα επικεντρώνεται στην υπεύθυνη αποκάλυψη, όχι σε δημόσιο ανταγωνισμό. Οι επιλέξιμες αναφορές μπορεί να εξεταστούν για διακριτική ανταμοιβή μετά από εσωτερική επικύρωση, αξιολόγηση σοβαρότητας και έλεγχο διπλότυπων.

Προσδοκίες ασφαλούς αναφοράς

• Αναφέρετε το ζήτημα το συντομότερο δυνατό μετά την ανακάλυψη και παρέχετε αρκετές λεπτομέρειες για αναπαραγωγή του ευρήματος.
• Δώστε εύλογο χρόνο για διερεύνηση και διόρθωση πριν αποκαλύψετε το ζήτημα δημοσίως ή σε τρίτους.
• Μην χρησιμοποιείτε υποδύση, κοινωνική μηχανική, phishing ή άλλες παραπλανητικές μεθόδους επικοινωνίας κατά τη δοκιμή ή αναφορά.
• Χρησιμοποιήστε μόνο λογαριασμούς που δημιουργήσατε εσείς και μην αποκτάτε πρόσβαση, τροποποιείτε ή καταστρέφετε δεδομένα άλλων χρηστών.
• Αποφύγετε μεθόδους δοκιμής που διακόπτουν τη διαθεσιμότητα, υποβαθμίζουν υπηρεσία για άλλους ή δημιουργούν περιττό επιχειρησιακό κίνδυνο.
• Κρατήστε την αναφορά εμπιστευτική ενώ το ζήτημα βρίσκεται υπό εξέταση. Τα προσωπικά στοιχεία που παρέχονται με την αναφορά δεν θα κοινοποιηθούν χωρίς συγκατάθεση, εκτός αν η αποκάλυψη απαιτείται από νόμο.
• Αν ακολουθήσετε αυτές τις προσδοκίες και τις άλλες συνθήκες αυτής της πολιτικής, η Redcluster LTD δεν σκοπεύει να προβεί σε νομική ενέργεια σε σχέση με την ίδια την αναφορά.

Επιλεξιμότητα

Μια αναφορά μπορεί να εξεταστεί στο πλαίσιο αυτού του προγράμματος όταν ισχύουν όλα τα παρακάτω:

1. Είστε ο πρώτος που αναφέρει το ζήτημα.
2. Ακολουθείτε τις προσδοκίες ασφαλούς αναφοράς που περιγράφονται σε αυτή την πολιτική.
3. Δεν αποκαλύπτετε δημοσίως το ζήτημα πριν η Redcluster LTD έχει εύλογη ευκαιρία να διερευνήσει και να ανταποκριθεί.
4. Παρέχετε σαφή εξήγηση επιπτώσεων μαζί με αναπαραγώγιμα βήματα ή λειτουργική απόδειξη έννοιας.
5. Χρησιμοποιείτε μόνο τους δικούς σας λογαριασμούς και δεν επιχειρείτε πρόσβαση σε δεδομένα που δεν σας ανήκουν.
6. Δεν βρίσκεστε σε χώρα ή υπόκεισθε σε περιορισμούς κυρώσεων που θα εμπόδιζαν τη Redcluster LTD να συμμετέχει στο πρόγραμμα.

Ευρήματα εκτός πεδίου εφαρμογής

Οι παρακάτω κατηγορίες είναι γενικά εκτός πεδίου και μπορεί να μην λάβουν ατομική απάντηση όταν δεν αποδεικνύουν ουσιαστική, εκμεταλλεύσιμη επίπτωση ασφαλείας.

Κοινωνικές και φυσικές επιθέσεις

• Κοινωνική μηχανική, phishing, υποδύση ή άλλες απόπειρες χειρισμού προσωπικού ή τρίτων.
• Οποιαδήποτε φυσική απόπειρα κατά ιδιοκτησίας εταιρείας, υποδομής ή εγκαταστάσεων κέντρου δεδομένων.

Διαθεσιμότητα και καταχρηστικές δοκιμές

• Δραστηριότητα άρνησης υπηρεσίας, brute forcing, δοκιμές φόρτωσης ή οποιεσδήποτε δοκιμές που μπορούν να υποβαθμίσουν τη διαθεσιμότητα υπηρεσίας.
• Αναφορές που παράγονται μόνο από αυτοματοποιημένα εργαλεία ή ευρεία σάρωση χωρίς αποδεδειγμένη, εξειδικευμένη επίπτωση υπηρεσίας.
• Αναφορές για απόντα όρια ρυθμού χωρίς πρακτική διαδρομή εκμετάλλευσης.

Ευρήματα web χαμηλής σήμανσης

• CSRF, self-XSS, ζητήματα μόνο clickjacking, πλαστογράφηση περιεχομένου σε σελίδες σφαλμάτων, επιθέσεις ομογράφων, ανοιχτές ανακατευθύνσεις, παρατηρήσεις αδύναμου CAPTCHA και ζητήματα σχετιζόμενα με cache.

Κεφαλίδες, διαμόρφωση και αναφορές μόνο έκθεσης

• Απόντες σημαιοδότες cookie, απόντες κεφαλίδες ασφαλείας χωρίς αποδεδειγμένη επίπτωση, απόντα noreferrer ή noopener, παρατηρήσεις DKIM/SPF/DMARC, έκθεση εκδόσεων, καταλογισμός καταλόγων, παρατηρήσεις SSL, ενεργοποιημένο OPTIONS ή αποκάλυψη IP διακομιστή.

Ακραίες περιπτώσεις λογαριασμού και τοπικής συσκευής

• Χρονικά όρια σεσιόν, επαναχρησιμοποίηση TOTP 2FA, ανησυχίες πολιτικής κωδικών, λεπτομέρειες επαλήθευσης αλλαγής email, παρατηρήσεις ροής ενεργοποίησης 2FA ή ζητήματα που απαιτούν πρόσβαση στη συσκευή του ίδιου του χρήστη.
• Ισχυρισμοί απαρίθμησης χρηστών που εξαρτώνται από συμπεριφορά brute-force αντί για πρακτική αδυναμία εφαρμογής.

Λογισμικό τρίτων και εξωτερικά συστήματα

• Σφάλματα σε λογισμικό τρίτων, ευπάθειες WordPress, ευπάθειες περιηγητή ή παραβολή παραμέτρων επεξεργαστή πληρωμών εκτός της άμεσης επιφάνειας εφαρμογής DediStart.

Τι να συμπεριλάβετε σε μια αναφορά

Μια χρήσιμη αναφορά συνήθως περιλαμβάνει:

• Το επηρεαζόμενο hostname, URL, υπηρεσία ή ροή χρήστη.
• Σαφή βήματα αναπαραγωγής, συμπεριλαμβανομένης κατάστασης λογαριασμού, χρονισμού ή λεπτομερειών περιβάλλοντος.
• Η παρατηρηθείσα επίπτωση και η συνέπεια ασφαλείας που πιστεύετε ότι απορρέει από το ζήτημα.
• Απόδειξη έννοιας, στιγμιότυπα, δείγματα αιτημάτων ή αρχεία καταγραφής που βοηθούν την ομάδα να επικυρώσει την αναφορά χωρίς επαναλαμβανόμενες εκτεταμένες δοκιμές.
• Τα προτιμώμενα στοιχεία επικοινωνίας σας σε περίπτωση που χρειάζεται διευκρίνιση.

Κανάλι αναφοράς

Στείλτε αρχικά ευρήματα στο κανάλι κατάχρησης και ασφαλείας παρακάτω. Αν το ζήτημα γίνει αποδεκτό για εξέταση, η επακόλουθη επικοινωνία μπορεί να συνεχιστεί μέσω αυτού του νήματος.