Znalazłeś lukę w naszych systemach?

Jeśli odkryjesz techniczną lukę w naszych systemach, mamy procedurę jej zgłaszania. Nazywamy to Koordynowanym Ujawnianiem Podatności (CVD). Jeśli jednak chodzi o lukę w systemie lub produkcie niebędącym częścią naszej platformy, najpierw zgłoś to właścicielowi danego systemu lub produktu. Skontaktuj się z naszym zespołem technicznym tylko wtedy, gdy odpowiednia organizacja nie zareaguje właściwie. W takich przypadkach wystąpimy jako pośrednik i postaramy się zwrócić ich uwagę na problem. W sprawach niezwiązanych z cyberbezpieczeństwem skorzystaj proszę z zakładki "Kontakt".

Jeśli natrafisz na luki wpływające na wiele systemów lub dostawców, śmiało daj nam znać. Możemy pomóc w koordynacji rozwiązania. Zgłoś te problemy przez formularz kontaktowy, a my odezwiemy się do Ciebie, aby ułatwić proces naprawy.

Jakie luki można zgłaszać w ramach CVD?

Możesz zgłaszać nam luki, które mogą zagrozić bezpieczeństwu systemu. Na przykład takie, które pozwalają ominąć formularze logowania lub dają nieautoryzowany dostęp do baz danych z danymi osobowymi.

Pamiętaj, że nie każda usterka to luka. Zazwyczaj poniższe problemy raczej nie prowadzą do naruszenia bezpieczeństwa, dlatego prosimy, abyś ich nie zgłaszał:

• Usterki nie wpływające na dostępność, integralność lub poufność danych.
• Dostępność funkcjonalności WordPress xmlrpc.php, jeśli jej nadużycie ogranicza się do ataku typu 'pingback denial-of-service'.
• Możliwość wykorzystania cross-site scripting na statycznej stronie lub stronie nieprzetwarzającej wrażliwych danych (użytkownika).
• Dostępność informacji o wersji, np. przez plik info.php. Wyjątkiem może być sytuacja, gdy ujawnia ona, że system używa oprogramowania ze znanymi lukami.
• Brak nagłówków bezpieczeństwa HTTP, np. dla mechanizmów takich jak Cross-Origin Resource Sharing (CORS), chyba że ich brak wyraźnie powoduje problem bezpieczeństwa.
• Certyfikaty, takie jak SSL, lub nazwy domen, których ważność wkrótce wygasa.

Jeśli masz wątpliwości, czy znaleziona usterka kwalifikuje się jako luka, i tak możesz ją do nas zgłosić.

Następnie ocenimy, czy usterka stanowi lukę w zabezpieczeniach i podejmiemy odpowiednie działania.

Jak zgłaszać luki (CVD)?

Wystarczy, że wykonasz te kroki:

• Wypełnij formularz kontaktowy i opisz, co znalazłeś.
• W swoim zgłoszeniu jak najdokładniej opisz, jak odtworzyć problem – to przyspieszy rozwiązanie sprawy. Zwykle wystarczy podać adres IP lub URL dotkniętego systemu oraz opis luki, ale bardziej skomplikowane przypadki mogą wymagać dodatkowych informacji. Wtedy się z tobą skontaktujemy.
• Podaj przynajmniej adres e-mail lub numer telefonu, żebyśmy mogli się z tobą skontaktować w razie pytań. Wolimy komunikację mailową.

Pamiętaj, żeby:

• Zgłosić lukę jak najszybciej po jej odkryciu.
• Nie informować o problemie nikogo innego, dopóki nie potwierdzimy, że został naprawiony.
• Postępować odpowiedzialnie – nie wykorzystywać luki do niczego poza niezbędnym zademonstrowaniem jej.

Czego absolutnie nie wolno robić?

Nigdy nie podejmuj tych działań:

• Wprowadzaj złośliwego oprogramowania do systemu.
• Kopiuj, modyfikuj lub usuwaj dane w systemie.
• Wprowadzaj zmian w systemie.
• Korzystaj wielokrotnie z systemu lub udostępniaj do niego dostęp innym.
• Przeprowadzaj ataki brute force w celu uzyskania dostępu.
• Wykonuj ataków typu denial of service lub inżynierii społecznej.

Zasady naszej polityki CVD

• Jeśli zgłosisz lukę zgodnie z procedurą, nie poniesiesz żadnych konsekwencji prawnych. Twoje zgłoszenie potraktujemy poufnie i nie udostępnimy twoich danych osobowych stronom trzecim bez twojej zgody, chyba że wymaga tego prawo lub sąd.
• Wskażemy cię jako odkrywcę luki tylko za twoją zgodą.
• Potwierdzimy otrzymanie zgłoszenia w ciągu jednego dnia roboczego, a w ciągu trzech dni prześlemy ci naszą ocenę. Będziemy cię też na bieżąco informować o postępach w naprawie problemu.
• Nasz zespół bezpieczeństwa postara się rozwiązać problem w ciągu maksymalnie 60 dni. Po naprawie omówimy z tobą, czy i jak opublikować szczegóły dotyczące usterki i jej rozwiązania.
• Nasz zespół bezpieczeństwa zaoferuje ci też nagrodę w podzięce za pomoc. Może to być kubek kawy, koszulka lub karty podarunkowe – w zależności od wagi luki i jakości zgłoszenia. Aby zgłoszona usterka kwalifikowała się do nagrody, musi być to poważna luka w zabezpieczeniach, której nasz zespół ds. bezpieczeństwa jeszcze nie zna.