Program za otkrivanje ranjivosti
LiveAgent nastoji održati svoju uslugu sigurnom za sve, a sigurnost podataka je od najveće važnosti. Naš Program za otkrivanje ranjivosti namijenjen je minimiziranju utjecaja bilo kakvih sigurnosnih nedostataka na naše alate ili njihove korisnike. LiveAgent-ov Program za otkrivanje ranjivosti pokriva softver koji je djelomično ili primarno napisan od strane Quality Unit-a.
Ako ste sigurnosni istraživač i otkrili ste sigurnosnu ranjivost u Usluzi, cijenimo vašu pomoć u privatnom otkrivanju i dajemo vam mogućnost da je ispravite prije nego što objavite tehničke detalje.
LiveAgent će surađivati sa sigurnosnim istraživačima kada nam se ranjivosti prijave kako je ovdje opisano. Validirat ćemo, odgovoriti i ispraviti ranjivosti u skladu s našom obvezom prema sigurnosti i privatnosti. Nećemo poduzeti pravne mjere protiv, suspenziju ili prekid pristupa Usluzi onih koji otkriju i odgovorno prijave sigurnosne ranjivosti. LiveAgent zadržava sva svoja zakonska prava u slučaju bilo kakve neusklađenosti.
Prijava
Podijelite detalje bilo koje osumnjane ranjivosti s LiveAgent-ovim Razvojnim timom na support@liveagent.com . Molimo vas da ne objavljujete javno te detalje izvan ovog procesa bez eksplicitne dozvole.
Pri prijavi bilo koje osumnjane ranjivosti, molimo vas da uključite što više informacija. Ako želite poslati više izvještaja odjednom, molimo vas da pošaljete samo jedan izvještaj (najvažniji ako je moguće) i čekajte odgovor.
Naknada
Radujemo se što možemo ponuditi nagradu za informacije o ranjivostima koje nam pomažu zaštititi naše korisnike kao zahvalu sigurnosnim istraživačima koji se odluče sudjelovati u našem programu za pronalaženje grešaka. Redovna nagrada je 100 USD po ranjivosti koja je poslana i provjerena od strane našeg razvojnog tima.
Nagradu ćemo dati samo prvom prijavitelju ranjivosti. Duplikatni izvještaji neće biti nagrađeni.
Opseg
Možete testirati samo LiveAgent račun za koji ste vlasnik računa ili agent kojeg je vlasnik računa ovlastio da provede takvo testiranje. Na primjer:
- vašadomena.ladesk.com
Vrste ranjivosti koje se nagrađuju
Nagradit ćemo vas za sljedeće vrste ranjivosti:
- Izvršavanje udaljenih naredbi (RCE)
- SQL injekcija
- Slomljena autentifikacija
- Slomljeno upravljanje sesijom
- Zaobilaženje kontrole pristupa
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Otvoreno preusmjeravanje URL-a
- Prolazak kroz direktorij
Napomena: Izvještaji o slučajevima kada napadač može ugroziti samo svoj vlastiti račun s ulogom administratora neće biti nagrađeni nagradom. XSS uzrokovan od strane administratora neće biti nagrađen nagradom.
Kako bi se kvalificirala, ranjivost mora postojati u najnovijoj javnoj verziji (uključujući službeno objavljene javne beta verzije) softvera. Samo sigurnosne ranjivosti će se kvalificirati. Voljeli bismo da ljudi prijave druge greške kroz odgovarajuće kanale, ali budući da je svrha ovog programa ispravka sigurnosnih ranjivosti, samo greške koje dovode do sigurnosnih ranjivosti bit će prihvaćene za nagrade. Ostale greške bit će prihvaćene prema našoj diskreciji.
Smjernice
Molimo vas da se pridržavate sljedećih smjernica kako biste bili prihvatljivi za nagrade prema ovom programu otkrivanja:
- Nemojte trajno mijenjati ili brisati LiveAgent-ove podatke.
- Nemojte namjerno pristupati privatnim LiveAgent podacima više nego što je potrebno za demonstraciju ranjivosti.
- Nemojte DDoS ili na drugi način ometati, prekidati ili degradirati naše unutarnje ili vanjske usluge.
- Nemojte dijeliti povjerljive informacije dobivene od LiveAgent-a, uključujući ali ne ograničavajući se na informacije o plaćanju članova ili donatora, s bilo kojom trećom stranom.
- Društveno inženjerstvo je izvan opsega. Nemojte slati phishing e-poštu ili koristiti druge tehnike društvenog inženjerstva protiv bilo koga, uključujući QualityUnit osoblje, članove, dobavljače ili partnere.
Osim toga, molimo vas da nam date najmanje 90 dana da ispravimo ranjivost prije nego što je javno razmotrimo ili napišemo o njoj. Naš tim vjeruje da sigurnosni istraživači imaju pravo izvijestiti o svojem istraživanju i da je otkrivanje vrlo korisno, te razumije da je to vrlo subjektivno pitanje kada i kako zadržati detalje kako bi se smanjio rizik da će se informacije o ranjivosti zloupotrijebiti. Ako mislite da je ranije otkrivanje potrebno, molimo vas da nas obavijestite kako bismo mogli započeti razgovor.
Dnevnik promjena
Javno obavještavamo o svim ispravljenim sigurnosnim problemima kroz naš dnevnik promjena . Problemi vezani uz sigurnost označeni su oznakom [Security].
