Politika otkrivanja ranjivosti

Naša predanost

Sigurnost naših korisnika i njihovih podataka shvaćamo ozbiljno. Pozdravljamo izvješća sigurnosnih istraživača i surađivat ćemo s vama kako bismo brzo razumjeli i riješili svaki problem. Nećemo poduzeti pravne mjere protiv vas zbog sigurnosnog istraživanja provedenog u dobroj vjeri u skladu s ovim pravilima.

Djelokrug

U opsegu

• ahaslides.com i njegove poddomene (na primjer presenter.dev.ahaslide.com i publika.ahaslides.com)
• Web aplikacija AhaSlides, aplikacije za voditelje i publiku

Izvan dosega

• Testovi uskraćivanja usluge (DoS/DDoS) i volumetrijski testovi ili testovi preplavljivanja prometom
• Socijalni inženjering osoblja, korisnika ili izvođača radova; fizički napadi
• Neželjena pošta ili nalazi automatiziranih skenera bez dokazanog, iskoristivog utjecaja
• Izvješća koja utječu samo na nepodržane ili ukinute preglednike
• Usluge trećih strana koje ne kontroliramo (postavljamo ih trećoj strani)
• Otvoreni (neautentificirani) pristup publici: aplikacija za publiku namjerno omogućuje svima da se pridruže prezentaciji i pošalju odgovore bez računa ili prijave, tako da publika može slobodno sudjelovati. Izvješća o tome da pridruživanju publici ili postupku slanja nedostaje autentifikacija ne tretiraju se kao ranjivosti.
• Prijedlozi najbolje prakse bez utjecaja na sigurnost (na primjer, nedostajući zaglavlja bez iskorištavanja, sitničavosti SPF/DMARC-a, samo-XSS, mišljenja o ograničavanju brzine). Dobrodošli su, ali se ne tretiraju kao ranjivosti.

Pravila angažmana

Molimo Vas provjerite pažljivo tablicu sa mjerama prije kupnje proizvoda, a ukoliko ne znate kako odabrati veličinu proizvoda kontaktirajte našu Službu za kupce. do:

• Prijavite čim pronađete problem i dajte nam razumno vrijeme da ga riješimo prije nego što ga javno objavimo.
• Koristite samo vlastite testne račune. Zaustavite se na dokazu koncepta.

Molimo Vas provjerite pažljivo tablicu sa mjerama prije kupnje proizvoda, a ukoliko ne znate kako odabrati veličinu proizvoda kontaktirajte našu Službu za kupce. nemoj:

• Pristupajte, mijenjajte, preuzimajte ili brišite podatke koji nisu vaši. Za dokazivanje pristupa dovoljna je snimka zaslona ili minimalni, redigirani zapis, stoga nemojte izvlačiti stvarne korisničke podatke.
• Narušavati ili prekidati naše usluge ili pokretati automatizirane napade velikog broja korisnika.
• Javno otkrijte problem prije nego što potvrdimo da je riješen (vidi Koordinirano otkrivanje).

Kako prijaviti

E-mail sigurnost@ahaslides.com s:

1. Jasan opis ranjivosti i njenog utjecaja.
2. Postupna reprodukcija, uključujući pogođeni URL ili krajnju točku.
3. Dokaz koncepta (snimke zaslona, ​​kratki video ili minimalni zahtjev), redigirano.
4. Vaše ime ili nadimak za navođenje u zaslugama (nije obavezno).

Što možete očekivati ​​od nas

• Zahvala unutar 2 radnih dana.
• A odluka o trijaži (važeće, potrebno više informacija ili izvan dosega) unutar 5 radnih dana.
• Redovita ažuriranja dok radimo na ispravku i obavijest kada je problem riješen.
• Javno priznanje u našim sigurnosnim priznanjima, ako želite.

Koordinirano otkrivanje

Molimo vas da detalje držite u tajnosti dok ne potvrdimo da je ispravak implementiran i da s nama koordinirate svaki javni izvještaj. Naš ciljani rok za sanaciju je 90 dana; ako nam treba više vremena, reći ćemo vam zašto.

Prepoznavanje

AhaSlides je tvrtka u rastu i ne vodi fiksni, objavljeni program plaćenih nagrada. U slučajevima kada je izvješće valjano, originalno i odgovorno objavljeno, možemo, po vlastitom nahođenju, ponuditi znak zahvalnosti i/ili javno priznanje kao zahvalu.

Duplicirana izvješća. Tamo gdje više ljudi prijavi isti problem, prvo reproducibilno izvješće koje primamo je onaj koji ispunjava uvjete za bilo kakvu nagradu. Kasniji izvjestitelji o istom problemu i dalje mogu dobiti javno priznanje ako dodaju materijalno nove informacije (na primjer, teži utjecaj, bolju reprodukciju ili dodatnu pogođenu površinu).

Već poznati problemi. Ako već znamo za problem i interno ga zabilježimo prije nego što stigne vaša prijava, i dalje ćemo vam dati priznanje i zahvaliti vam, ali nećete imati pravo na nagradu. Kao i kod duplikata, možemo ponuditi javno priznanje ako vaša prijava doda materijalno nove informacije.

Uvijek smo zahvalni na vašoj pomoći u održavanju sigurnosti AhaSlidesa.