Zásady zverejňovania zraniteľností

Náš záväzok

Bezpečnosť našich používateľov a ich údajov berieme vážne. Vítame hlásenia od bezpečnostných výskumníkov a budeme s vami spolupracovať, aby sme akýkoľvek problém rýchlo pochopili a vyriešili. Nepodnikneme voči vám žiadne právne kroky za bezpečnostný výskum vykonaný v dobrej viere v súlade s týmito zásadami.

Rozsah

V rozsahu pôsobnosti

• ahaslides.com a jeho subdomény (napríklad presenter.dev.ahaslide.com a audience.ahaslides.com)
• Webová aplikácia AhaSlides, aplikácie pre prezentujúcich a publikum

Mimo rozsahu

• Testy odmietnutia služby (DoS/DDoS) a volumetrické testy alebo testy zahltenia prevádzkou
• Sociálne inžinierstvo zamestnancov, používateľov alebo dodávateľov; fyzické útoky
• Spam alebo zistenia z automatizovaných skenerov bez preukázaného zneužiteľného vplyvu
• Správy týkajúce sa iba nepodporovaných alebo ukončených prehliadačov
• Služby tretích strán, ktoré nekontrolujeme (tieto informácie predkladáme tretej strane)
• Otvorený (neoverený) prístup publika: aplikácia pre publikum zámerne umožňuje komukoľvek pripojiť sa k prezentácii a odoslať odpovede bez účtu alebo prihlásenia, aby sa publikum mohlo voľne zúčastňovať. Hlásenia o tom, že pripojenie publika alebo proces odosielania chýba overenie, sa nepovažujú za zraniteľnosti.
• Návrhy osvedčených postupov bez vplyvu na bezpečnosť (napríklad chýbajúce hlavičky bez zneužitia, drobné nedostatky týkajúce sa SPF/DMARC, vlastné XSS, názory na obmedzenie rýchlosti útokov). Tieto sú vítané, ale nepovažujú sa za zraniteľnosti.

Pravidlá záväzku

Prosím do:

• Nahláste problém hneď, ako ho nájdete, a pred zverejnením nám dajte primeraný čas na jeho odstránenie.
• Používajte iba vlastné testovacie účty. Zastavte sa pri overení konceptu.

Prosím nie:

• Pristupovať k údajom, ktoré vám nepatria, upravovať ich, sťahovať ich alebo mazať. Na preukázanie prístupu stačí snímka obrazovky alebo minimálny redigovaný záznam, preto neodhaľujte údaje skutočných používateľov.
• Znižovať kvalitu alebo prerušovať naše služby, ani spúšťať automatizované útoky s veľkým objemom údajov.
• Zverejnite problém skôr, ako potvrdíme, že je vyriešený (pozri Koordinované zverejňovanie).

Ako nahlásiť

E-mail security@ahaslides.com a do vášho e-mailu zahrňte:

1. Jasný popis zraniteľnosti a jej dopadu.
2. Postupná reprodukcia vrátane dotknutej URL adresy alebo koncového bodu.
3. Overenie konceptu (snímky obrazovky, krátke video alebo minimálna požiadavka), redigované.
4. Vaše meno alebo prezývka pre úver (voliteľné).

Čo od nás môžete očakávať

• Poďakovanie v 2 pracovné dni.
• A rozhodnutie o triedení (platné, potrebné ďalšie informácie alebo mimo rozsahu) v rámci 5 pracovné dni.
• Pravidelné aktualizácie počas práce na oprave a upozornenie, keď je problém vyriešený.
• Verejné uznanie v našich bezpečnostných potvrdeniach, ak si to želáte.

Koordinované zverejňovanie

Žiadame vás, aby ste podrobnosti uchovávali v tajnosti, kým nepotvrdíme nasadenie opravy, a aby ste s nami koordinovali akýkoľvek verejný zápis. Náš cieľový časový rámec pre nápravu je 90 dní; ak budeme potrebovať viac, povieme vám prečo.

Uznanie

AhaSlides je rastúca spoločnosť a neprevádzkuje fixný, zverejnený platený odmeňovací program. Ak je správa platná, originálna a zodpovedne zverejnená, môžeme podľa vlastného uváženia ponúknuť prejav uznania a/alebo verejné uznanie ako poďakovanie.

Duplicitné správy. Ak viacerí ľudia nahlásia rovnaký problém, prvá reprodukovateľná správa, ktorú dostávame je ten, kto má nárok na akúkoľvek odmenu. Neskorší reportéri tej istej problematiky môžu stále získať verejné uznanie, ak pridajú podstatne nové informácie (napríklad závažnejší dopad, lepšiu reprodukciu alebo ďalší postihnutý povrch).

Už známe problémy. Ak už o probléme vieme a interne ho zaznamenáme ešte pred doručením vášho hlásenia, aj tak vám ho poďakujeme, ale nebudete mať nárok na odmenu. Rovnako ako v prípade duplikátov môžeme ponúknuť verejné uznanie, ak vaše hlásenie pridá podstatne nové informácie.

Vždy sme vďační za vašu pomoc pri udržiavaní AhaSlides v bezpečí.