Haavoittuvuuksien julkistamiskäytäntö

Sitoutumisemme

Suhtaudumme käyttäjiemme ja heidän tietojensa turvallisuuteen vakavasti. Otamme mielellämme vastaan ​​raportteja tietoturvatutkijoilta ja teemme yhteistyötä kanssasi ymmärtääksemme ja ratkaistaksemme ongelmat nopeasti. Emme ryhdy oikeustoimiin sinua vastaan ​​tämän käytännön mukaisesti vilpittömässä mielessä tehdyn tietoturvatutkimuksen vuoksi.

Laajuus

Soveltamisalaan kuuluva

• ahaslides.com ja sen aliverkkotunnukset (esim. presenter.dev.ahaslide.com ja audience.ahaslides.com)
• AhaSlides-verkkosovellus, esittäjä- ja yleisösovellukset

Soveltamisalan ulkopuolella

• Palvelunestohyökkäystestit (DoS/DDoS) ja volumetriset tai liikenteen tulvatestit
• Henkilökunnan, käyttäjien tai urakoitsijoiden sosiaalinen manipulointi; fyysiset hyökkäykset
• Roskaposti tai automaattisten skannereiden tulokset ilman osoitettua, hyödynnettävissä olevaa vaikutusta
• Raportit, jotka koskevat vain tukemattomia tai käytöstä poistettuja selaimia
• Kolmannen osapuolen palvelut, joita emme hallitse (nosta ne kolmannen osapuolen kanssa)
• Avoin (todentamaton) yleisön pääsy: Audience-sovellus antaa tarkoituksella kenen tahansa liittyä esitykseen ja lähettää vastauksia ilman tiliä tai kirjautumista, jotta yleisö voi osallistua vapaasti. Ilmoituksia siitä, että yleisön liittymis- tai lähetysprosessissa ei ole todennusta, ei käsitellä haavoittuvuuksina.
• Parhaiden käytäntöjen ehdotuksia, joilla ei ole vaikutusta tietoturvaan (esimerkiksi puuttuvat otsikot ilman hyväksikäyttöä, SPF/DMARC-virheet, itse-XSS, nopeutta rajoittavat mielipiteet). Nämä ovat tervetulleita, mutta niitä ei pidetä haavoittuvuuksina.

Voimankäyttövaltuudet

Ole hyvä ja do:

• Ilmoita siitä heti, kun löydät ongelman, ja anna meille kohtuullinen aika korjata se ennen kuin paljastat sen julkisesti.
• Käytä vain omia testitilejäsi. Pysy vain konseptin toimivuuden todistamisessa.

Ole hyvä ja älä:

• Käytä, muokkaa, lataa tai poista tietoja, jotka eivät ole omiasi. Käyttöoikeuden todistamiseksi riittää kuvakaappaus tai minimaalinen, muokattu tietue, joten älä vuoda oikeita käyttäjätietoja.
• Heikentää tai keskeyttää palveluitamme tai suorittaa automatisoituja suuren volyymin hyökkäyksiä.
• Ilmoita ongelmasta julkisesti ennen kuin olemme vahvistaneet sen ratkaistuksi (katso Koordinoitu julkistaminen).

Kuinka raportoida

Sähköposti security@ahaslides.com kanssa:

1. Selkeä kuvaus haavoittuvuudesta ja sen vaikutuksesta.
2. Vaiheittainen kopiointi, mukaan lukien URL-osoite tai päätepiste.
3. Konseptin toimivuus (kuvakaappaukset, lyhyt video tai minimaalinen pyyntö), sensuroitu.
4. Nimesi tai käyttäjätunnuksesi (valinnainen).

Mitä voit odottaa meiltä

• Kuittaus sisällä 2 arkipäivää.
• A triage-päätös (voimassa, lisätietoja tarvitaan tai soveltamisalan ulkopuolella) sisällä 5 arkipäivää.
• Säännöllisiä päivityksiä korjauksen työstämisen aikana ja ilmoitus, kun ongelma on ratkaistu.
• Mainitse julkinen tunnustus turvallisuustiedotteissamme, jos haluat.

Koordinoitu julkistaminen

Pyydämme teitä pitämään tiedot yksityisinä, kunnes vahvistamme korjauksen käyttöönoton, ja koordinoimaan kaikki julkiset raportit kanssamme. Tavoitteenamme on korjata ongelma 90 päivää; jos tarvitsemme pidempään, kerromme miksi.

Tunnustaminen

AhaSlides on kasvava yritys, eikä sillä ole kiinteää, julkaistua maksettua palkkio-ohjelmaa. Jos raportti on pätevä, omaperäinen ja vastuullisesti julkistettu, voimme harkintamme mukaan tarjota kiitoksen osoituksena arvostuksen ja/tai julkisen tunnustuksen.

Päällekkäiset raportit. Jos useampi henkilö ilmoittaa samasta ongelmasta, ensimmäinen saamamme toistettavissa oleva raportti on se, joka on oikeutettu mihin tahansa palkkioon. Saman ongelman myöhemmät raportoijat voivat silti saada julkista tunnustusta, jos he lisäävät olennaisesti uutta tietoa (esimerkiksi vakavampi vaikutus, parempi jäljennös tai uusi vaikutusalue).

Jo ennestään tiedossa olevat ongelmat. Jos olemme jo tietoisia ongelmasta ja olemme kirjanneet sen sisäisesti ennen raporttisi saapumista, tunnustamme sen ja kiitämme sinua silti, mutta emme oikeuta palkkioon. Kuten kaksoiskappaleiden kohdalla, voimme tarjota julkisen tunnustuksen, jos raporttisi lisää olennaisesti uutta tietoa.

Olemme aina kiitollisia avustasi AhaSlidesin turvassa pitämisessä.