Patakaran sa Pagbubunyag ng Kahinaan

Ang aming pangako

Seryoso naming pinahahalagahan ang seguridad ng aming mga gumagamit at ang kanilang datos. Tinatanggap namin ang mga ulat mula sa mga mananaliksik ng seguridad at makikipagtulungan sa iyo upang maunawaan at malutas ang anumang isyu nang mabilis. Hindi kami magsasagawa ng legal na aksyon laban sa iyo para sa pananaliksik sa seguridad na isinagawa nang may mabuting hangarin sa ilalim ng patakarang ito.

saklaw

Nasa saklaw

• ahaslides.com at ang mga subdomain nito (halimbawa presenter.dev.ahaslide.com at audience.ahaslides.com)
• Ang AhaSlides web application, presenter at audience apps

Sa labas ng saklaw

• Mga pagsubok sa pagtanggi sa serbisyo (DoS/DDoS) at volumetric o pagbaha sa trapiko
• Social engineering ng mga kawani, gumagamit o kontratista; pisikal na pag-atake
• Spam, o mga natuklasan mula sa mga awtomatikong scanner na walang napatunayan at maaaring gamiting epekto
• Mga ulat na nakakaapekto lamang sa mga hindi sinusuportahan o mga browser na malapit nang matapos ang buhay
• Mga serbisyo ng ikatlong partido na hindi namin kontrolado (ipaalam ang mga iyon sa ikatlong partido)
• Bukas (hindi awtorisadong) access sa audience: sadyang hinahayaan ng audience app ang sinuman na sumali sa isang presentasyon at magsumite ng mga tugon nang walang account o login, para malayang makalahok ang mga audience. Ang mga ulat na ang pagsali sa audience o ang daloy ng pagsusumite ay walang authentication ay hindi itinuturing na mga kahinaan.
• Mga mungkahi sa pinakamahusay na kasanayan na walang epekto sa seguridad (halimbawa, nawawalang mga header na walang exploit, mga SPF/DMARC nitpick, self-XSS, mga opinyon na naglilimita sa rate). Ang mga ito ay malugod na tinatanggap, ngunit hindi itinuturing na mga kahinaan.

Mga tuntunin ng pakikipag-ugnayan

Pakiusap do:

• Mag-ulat agad kapag may nakita kang problema, at bigyan kami ng makatwirang oras para ayusin ito bago ibunyag sa publiko.
• Gumamit lamang ng sarili mong mga test account. Tumigil sa proof-of-concept.

Pakiusap huwag:

• Mag-access, magbago, mag-download, o magbura ng data na hindi sa iyo. Upang patunayan ang access, sapat na ang isang screenshot o isang minimal at binagong record, kaya huwag i-exfiltrate ang totoong data ng user.
• Pababain o gambalain ang aming mga serbisyo, o magpatakbo ng mga awtomatikong high-volume na pag-atake.
• Ibunyag sa publiko ang isyu bago namin kumpirmahin na nalutas na ito (tingnan Pinagsama-samang pagsisiwalat).

Paano mag-ulat

Email security@ahaslides.com na may:

1. Isang malinaw na paglalarawan ng kahinaan at ang epekto nito.
2. Paunti-unting pagpaparami, kabilang ang apektadong URL o endpoint.
3. Patunay ng konsepto (mga screenshot, isang maikling video, o isang simpleng kahilingan), inalis.
4. Ang iyong pangalan o address para sa kredito (opsyonal).

Ano ang maaari mong asahan mula sa amin

• Acknowledgement sa loob ng 2 araw ng negosyo.
• A desisyon sa triage (wasto, kailangan ng karagdagang impormasyon, o wala sa saklaw) sa loob ng 5 araw ng negosyo.
• Regular na mga update habang inaayos namin ang isang solusyon, at inaalam namin kung kailan ito nalutas.
• Pampublikong kredito sa aming mga pagkilala sa seguridad, kung nais mo.

Pinagsama-samang pagsisiwalat

Hinihiling namin na panatilihin ninyong pribado ang mga detalye hanggang sa makumpirma naming naipatupad na ang isang pag-aayos, at makipag-ugnayan sa amin sa anumang pampublikong sulatin. Ang aming target na palugit para sa remediation ay 90 araw; kung kailangan namin ng mas matagal pa, sasabihin namin sa iyo kung bakit.

Pagkilala

Ang AhaSlides ay isang lumalaking kumpanya at hindi nagpapatakbo ng isang nakapirming, nailathalang bayad na programa ng bounty. Kung ang isang ulat ay balido, orihinal, at responsableng isiniwalat, maaari kaming, sa aming pagpapasya, mag-alok ng isang tanda ng pagpapahalaga at/o pampublikong kredito bilang pasasalamat.

Mga dobleng ulat. Kung maraming tao ang nag-uulat ng parehong isyu, ang unang ulat na maaaring kopyahin na natanggap namin ay ang karapat-dapat para sa anumang gantimpala. Ang mga susunod na reporter ng parehong isyu ay maaari pa ring makatanggap ng pampublikong kredito kung magdaragdag sila ng mga bagong impormasyon (halimbawa, isang mas matinding epekto, isang mas mahusay na reproduksyon, o isang karagdagang apektadong ibabaw).

Mga isyung alam na. Kung may alam na kaming isyu at naitala na namin ito sa loob ng kumpanya bago dumating ang iyong ulat, kikilalanin at pasasalamatan ka pa rin namin, ngunit hindi ito magiging karapat-dapat para sa isang gantimpala. Tulad ng sa mga duplicate, maaari kaming mag-alok ng pampublikong kredito kung saan ang iyong ulat ay nagdaragdag ng mahalagang bagong impormasyon.

Palagi kaming nagpapasalamat sa iyong tulong sa pagpapanatiling ligtas ng AhaSlides.