Retningslinjer for avsløring av sårbarhet

Vi forplikter oss

Vi tar sikkerheten til brukerne våre og dataene deres på alvor. Vi ønsker rapporter fra sikkerhetsforskere velkommen og vil samarbeide med deg for å forstå og løse eventuelle problemer raskt. Vi vil ikke iverksette rettslige skritt mot deg for sikkerhetsforskning utført i god tro i henhold til denne policyen.

Omfang

Innenfor omfang

• ahaslides.com og underdomenene (for eksempel presenter.dev.ahaslide.com og publikum.ahaslides.com)
• AhaSlides-nettapplikasjonen, presentatør- og publikumsapper

Utenfor rekkevidde

• Denial-of-service (DoS/DDoS) og volumetriske tester eller trafikkoversvømmelsestester
• Sosial manipulering av ansatte, brukere eller kontraktører; fysiske angrep
• Spam, eller funn fra automatiserte skannere uten påvist, utnyttbar innvirkning
• Rapporter som kun påvirker nettlesere som ikke støttes eller er utgått på levetid
• Tredjepartstjenester vi ikke kontrollerer (ta opp disse med tredjeparten)
• Åpen (uautorisert) publikumstilgang: Publikumsappen lar bevisst hvem som helst bli med i en presentasjon og sende inn svar uten en konto eller pålogging, slik at publikum kan delta fritt. Rapporter om at publikums deltakelses- eller innsendingsflyt mangler autentisering behandles ikke som sårbarheter.
• Forslag til beste praksis uten sikkerhetsmessige konsekvenser (for eksempel manglende overskrifter uten utnyttelse, SPF/DMARC-kritiske spørsmål, selv-XSS, vurderinger som begrenser hastigheten). Disse er velkomne, men behandles ikke som sårbarheter.

Engasjementsregler

Vær så snill do:

• Rapporter så snart du finner et problem, og gi oss rimelig tid til å fikse det før du offentliggjør det.
• Bruk kun dine egne testkontoer. Stopp ved konseptbevis.

Vær så snill ikke:

• Få tilgang til, endre, laste ned eller slette data som ikke er dine egne. For å bevise tilgang er et skjermbilde eller en minimal, redigert oversikt nok, så ikke stjæl ekte brukerdata.
• Forringe eller avbryte tjenestene våre, eller kjøre automatiserte angrep med stort volum.
• Offentliggjøre problemet før vi har bekreftet at det er løst (se Koordinert offentliggjøring).

Hvordan rapportere

Epost security@ahaslides.com med:

1. En tydelig beskrivelse av sårbarheten og dens innvirkning.
2. Steg-for-steg-reproduksjon, inkludert den berørte URL-en eller endepunktet.
3. Konseptbevis (skjermbilder, en kort video eller en minimal forespørsel), redigert.
4. Navnet ditt eller brukernavn for kreditering (valgfritt).

Hva du kan forvente av oss

• Bekreftelse innenfor 2 virkedager.
• A triage-beslutning (gyldig, trenger mer informasjon eller utenfor omfanget) innenfor 5 virkedager.
• Regelmessige oppdateringer mens vi jobber med en løsning, og gir beskjed når det er løst.
• Offentlig kreditt i våre sikkerhetsbekreftelser, hvis du ønsker det.

Koordinert offentliggjøring

Vi ber deg om å holde detaljene private inntil vi bekrefter at en løsning er implementert, og koordinerer eventuelle offentlige rapporter med oss. Vårt målrettede utbedringsvindu er 90 dagerHvis vi trenger lenger tid, vil vi fortelle deg hvorfor.

Anerkjennelse

AhaSlides er et voksende selskap og driver ikke et fast, publisert betalt dusørprogram. Der en rapport er gyldig, original og ansvarlig offentliggjort, kan vi, etter eget skjønn, tilby et tegn på takknemlighet og/eller offentlig anerkjennelse som takk.

Dupliserte rapporter. Der flere personer rapporterer det samme problemet, den første reproduserbare rapporten vi mottar er den som er kvalifisert for en eventuell belønning. Senere journalister av samme sak kan fortsatt motta offentlig anerkjennelse hvis de legger til vesentlig ny informasjon (for eksempel en mer alvorlig innvirkning, en bedre reproduksjon eller en ytterligere berørt overflate).

Allerede kjente problemer. Hvis vi allerede er klar over et problem og har logget det internt før rapporten din ankommer, vil vi fortsatt bekrefte og takke deg, men det vil ikke være kvalifisert for en belønning. Som med duplikater, kan vi tilby offentlig anerkjennelse der rapporten din legger til vesentlig ny informasjon.

Vi er alltid takknemlige for din hjelp med å holde AhaSlides trygg.