Chính sách tiết lộ lỗ hổng

Cam kết của chúng tôi

Chúng tôi luôn coi trọng việc bảo mật thông tin người dùng và dữ liệu của họ. Chúng tôi hoan nghênh các báo cáo từ các nhà nghiên cứu bảo mật và sẽ hợp tác với bạn để hiểu rõ và giải quyết mọi vấn đề một cách nhanh chóng. Chúng tôi sẽ không thực hiện bất kỳ hành động pháp lý nào chống lại bạn vì các nghiên cứu bảo mật được thực hiện một cách thiện chí theo chính sách này.

Phạm vi

Trong phạm vi

• ahaslides.com và các tên miền con của nó (ví dụ: presenter.dev.ahaslide.com và khán giả.ahaslides.com)
• Ứng dụng web AhaSlides, ứng dụng dành cho người thuyết trình và người xem

Ra khỏi phạm vi

• Các cuộc kiểm tra từ chối dịch vụ (DoS/DDoS) và kiểm tra lưu lượng truy cập lớn hoặc tràn ngập.
• Tấn công phi kỹ thuật nhằm vào nhân viên, người dùng hoặc nhà thầu; tấn công vật lý
• Thư rác, hoặc các phát hiện từ các phần mềm quét tự động mà không chứng minh được tác động có thể khai thác được.
• Các báo cáo chỉ ảnh hưởng đến các trình duyệt không được hỗ trợ hoặc đã hết hạn sử dụng.
• Các dịch vụ của bên thứ ba mà chúng tôi không kiểm soát (vui lòng nêu vấn đề này với bên thứ ba).
• Quyền truy cập mở (không cần xác thực) dành cho khán giả: ứng dụng dành cho khán giả cố ý cho phép bất kỳ ai tham gia bài thuyết trình và gửi phản hồi mà không cần tài khoản hoặc đăng nhập, để khán giả có thể tham gia một cách tự do. Các báo cáo cho thấy quy trình tham gia hoặc gửi phản hồi của khán giả thiếu xác thực không được coi là lỗ hổng bảo mật.
• Các đề xuất về thực tiễn tốt nhất mà không ảnh hưởng đến bảo mật (ví dụ: thiếu tiêu đề mà không gây ra lỗ hổng, các vấn đề nhỏ về SPF/DMARC, tự tấn công XSS, ý kiến ​​về giới hạn tốc độ). Những đề xuất này được hoan nghênh, nhưng không được coi là lỗ hổng bảo mật.

Quy tắc tham gia

Vui lòng do:

• Hãy báo cáo ngay khi phát hiện sự cố và cho chúng tôi một khoảng thời gian hợp lý để khắc phục trước khi công bố công khai.
• Chỉ sử dụng tài khoản thử nghiệm của riêng bạn. Dừng lại ở giai đoạn chứng minh tính khả thi.

Vui lòng không:

• Truy cập, chỉnh sửa, tải xuống hoặc xóa dữ liệu không thuộc sở hữu của bạn. Để chứng minh quyền truy cập, ảnh chụp màn hình hoặc bản ghi tối thiểu đã được che bớt thông tin là đủ, vì vậy đừng đánh cắp dữ liệu người dùng thực.
• Làm suy giảm hoặc gián đoạn dịch vụ của chúng tôi, hoặc thực hiện các cuộc tấn công tự động quy mô lớn.
• Hãy công khai vấn đề trước khi chúng tôi xác nhận nó đã được giải quyết (xem Tiết lộ phối hợp).

Làm thế nào để báo cáo

Email security@ahaslides.com với:

1. Mô tả rõ ràng về điểm yếu và tác động của nó.
2. Hướng dẫn tái hiện lỗi từng bước, bao gồm cả URL hoặc điểm cuối bị ảnh hưởng.
3. Bản thử nghiệm (ảnh chụp màn hình, video ngắn hoặc yêu cầu tối thiểu), đã được lược bỏ thông tin.
4. Tên hoặc biệt danh của bạn để ghi công (tùy chọn).

Những gì bạn có thể mong đợi từ chúng tôi

• Lời cảm ơn ở trong 2 ngày làm việc.
• A quyết định phân loại (hợp lệ, cần thêm thông tin hoặc nằm ngoài phạm vi) trong 5 ngày làm việc.
• Chúng tôi sẽ cập nhật thường xuyên trong quá trình khắc phục sự cố và sẽ thông báo khi vấn đề được giải quyết.
• Nếu bạn muốn, chúng tôi sẽ ghi công bạn trong phần xác nhận bảo mật.

Tiết lộ phối hợp

Chúng tôi đề nghị quý vị giữ kín thông tin chi tiết cho đến khi chúng tôi xác nhận bản vá lỗi đã được triển khai, và phối hợp với chúng tôi trong bất kỳ bài viết công khai nào. Thời gian dự kiến ​​khắc phục sự cố là... 90 ngàyNếu cần thêm thời gian, chúng tôi sẽ giải thích lý do.

Công nhận

AhaSlides là một công ty đang phát triển và không có chương trình thưởng cố định, công khai. Trong trường hợp báo cáo hợp lệ, nguyên bản và được công bố một cách có trách nhiệm, chúng tôi có thể, theo quyết định của mình, tặng một món quà tri ân và/hoặc ghi nhận công khai như một lời cảm ơn.

Báo cáo trùng lặp. Trong trường hợp nhiều người cùng báo cáo một vấn đề, thì báo cáo có thể tái tạo đầu tiên mà chúng tôi nhận được Người đầu tiên đưa tin về cùng một vấn đề là người đủ điều kiện nhận bất kỳ phần thưởng nào. Những phóng viên đưa tin sau này về cùng một vấn đề vẫn có thể được ghi nhận công khai nếu họ bổ sung thêm thông tin mới có ý nghĩa (ví dụ: tác động nghiêm trọng hơn, hình ảnh tái hiện tốt hơn hoặc thêm một khu vực bị ảnh hưởng).

Các vấn đề đã biết. Nếu chúng tôi đã biết về một vấn đề và đã ghi nhận nội bộ trước khi bạn gửi báo cáo, chúng tôi vẫn sẽ xác nhận và cảm ơn bạn, nhưng báo cáo của bạn sẽ không đủ điều kiện nhận phần thưởng. Tương tự như trường hợp báo cáo trùng lặp, chúng tôi có thể công khai ghi nhận đóng góp của bạn nếu báo cáo bổ sung thông tin mới quan trọng.

Chúng tôi luôn biết ơn sự giúp đỡ của bạn trong việc giữ an toàn cho AhaSlides.