Haavatavuse avalikustamise programm
LiveAgent soovib hoida oma teenust kõigile turvalisena ja andmeturve on ülimalt oluline. Meie haavatavuse avalikustamise programm on mõeldud selleks, et minimeerida mis tahes turvalisuse puuduste mõju meie tööriistadele või nende kasutajatele. LiveAgenti haavatavuse avalikustamise programm hõlmab tarkvara, mille on osaliselt või peamiselt kirjutanud Quality Unit.
Kui olete turvalisuse uurija ja olete avastanud teenuses turvalisuse puuduse, hindame teie abi selle privaatsel viisil meile avalikustamisel ja võimaluse andmisel selle parandamisel enne tehniliste üksikasjade avaldamist.
LiveAgent suhtleb turvalisuse uurijatega, kui haavatavused meile teatatud nagu siin kirjeldatud. Valideerime, reageerime ja parandame haavatavusi meie turvalisuse ja privaatsuse kohustuse toetamiseks. Me ei võta seaduslikke meetmeid, ei peata ega lõpeta teenuse juurdepääsu neile, kes avastasid ja teatanud turvalisuse puudustest vastutustundlikult. LiveAgent jätab endale kõik seaduslikud õigused mis tahes mittenõuetekohase käitumise korral.
Teatamine
Jagage mis tahes kahtlusaluste haavatavuste üksikasju LiveAgenti arendusmeeskonnale aadressil support@liveagent.com . Palun ärge avalikustage neid üksikasju väljaspool seda protsessi ilma selgesõnalise loata.
Mis tahes kahtlusaluste haavatavuste teatamisel lisage palun võimalikult palju teavet. Kui soovite esitada korraga mitut aruannet, palun esitage ainult üks aruanne (kõige olulisem, kui võimalik) ja oodake vastust.
Kompensatsioon
Oleme rõõmus pakkuda tasu haavatavuse teabe eest, mis aitab meil kaitsta meie kliente, tänu turvalisuse uurijatele, kes otsustasid osaleda meie veaparanduse programmis. Tavapärane tasu on 100 dollarit haavatavuse kohta, mille on esitanud ja meie arendusmeeskond kinnitanud.
Tasu makstakse ainult esimesele haavatavuse teatajale. Duplikaataruandeid ei tasustata.
Ulatus
Võite testida ainult LiveAgenti kontot, mille omanik olete teie või agent, kelle on kontohaldur volitanud sellist testimist tegema. Näiteks:
- yourdomain.ladesk.com
Tasustatud haavatavuse tüübid
Tasustame teid järgmiste haavatavuse tüüpide eest:
- Kaugkäsu täitmine (RCE)
- SQL-i sisestamine
- Katki autentimine
- Katki seansihaldus
- Juurdepääsukontrolli eiramine
- Saidi vaheline skriptimine (XSS)
- Saidi vaheline taotluse võltsing (CSRF)
- Avatud URL-i ümbersuunamine
- Kataloogiületus
Märkus: Aruanded juhtudest, kus ründaja saab ohustada ainult oma kontot administraatori rolliga, ei tasustata tasu. Administraatori poolt põhjustatud XSS-i ei tasustata tasu.
Kvalifitseerumiseks peab haavatavus olema olemas tarkvara uusimas avalikus versioonis (kaasa arvatud ametlikult väljastatud avalikud beetaversioonid). Ainult turvalisuse haavatavused kvalifitseeruvad. Meile meeldiks, kui inimesed teataksid muudest vigadest sobivate kanalite kaudu, kuid kuna selle programmi eesmärk on turvalisuse puuduste parandamine, on tasu saamiseks sobilikud ainult vead, mis viivad turvalisuse haavatavusteni. Muud vead aktsepteeritakse meie äranägemisel.
Juhised
Tasude saamiseks selle avalikustamise programmi alusel järgige järgmisi juhiseid:
- Ärge püsivalt muutke ega kustutage LiveAgenti majutatud andmeid.
- Ärge tahtlikult pääsege juurde mitteavalikele LiveAgenti andmetele rohkem kui on vajalik haavatavuse demonstreerimiseks.
- Ärge DDoS-ige ega muul viisil häirige, katkestage ega halvendage meie sisemisi ega väliseid teenuseid.
- Ärge jagage LiveAgentilt saadud konfidentsiaalset teavet, sealhulgas liikme või annetaja makseteavet, kolmandate osapoolte vahel.
- Sotsiaalse inseneri meetodid on väljaspool ulatust. Ärge saatke kalastusmeilisid ega kasutage muid sotsiaalse inseneri meetodeid kellegi vastu, sealhulgas QualityUniti töötajate, liikmete, müüjate või partnerite vastu.
Lisaks palun andke meile vähemalt 90 päeva haavatavuse parandamiseks enne selle avalikku arutamist või blogimist. Meie meeskond usub, et turvalisuse uurijatel on õigus teatada oma uurimistöö tulemusi ja et avalikustamine on väga kasulik, ning mõistab, et see on väga subjektiivne küsimus, millal ja kuidas pidada tagasi üksikasju, et vähendada riski, et haavatavuse teave kuritarvitatakse. Kui arvate, et varasem avalikustamine on vajalik, andke meile teada, et saaksime alustada vestlust.
Muudatuste logi
Teeme avalikult teatavaks kõik parandatud turvalisuse probleemid meie muudatuste logi kaudu. Turvalisusega seotud probleemid on märgistatud sildiga [Security].
