Pyydä arviointia

Kieli

Sovellusten tietoturva

Verkko, API, mobiili ja lähdekoodi

Infrastruktuuri ja pilvi

Verkot, pilvialustat, verkon ulkoreuna

Hyökkäyssimulaatiot

Tavoitteelliset hyökkäykset ihmisiä, prosesseja ja teknologiaa vastaan

Tekoäly, Web3 ja kryptografia

LLM-sovellukset, älysopimukset, kryptografinen suunnittelu

Ohjelmat ja varmennus

Bug bounty, haavoittuvuuksien ilmoittaminen, jatkuva testaus ja compliance-testaus

Kaikki palvelutKatso, miten toimimme
Pyydä arviointia

Haavoittuvuuksista maksetaan palkkio virallisesti

Verkkosivustojen ja palvelujen omistajat julkaisevat ohjelmia ja ilmoittavat palkkion. Tutkijat löytävät haavoittuvuuksia, raportoivat ne alustan kautta ja saavat palkkion meiltä. Varmennamme omistajan, tutkimme jokaisen raportin ja maksamme.

Julkaise ohjelmaRyhdy tutkijaksi

01Miten se toimii

Kaksi osapuolta, yhdet säännöt

Alusta on omistajan ja tutkijan välissä: se varmentaa edellisen, selvittää jälkimmäisen henkilöllisyyden ja vastaa molemmille rahoista.

Tutustu ohjelmiin

Omistajille

Päätät, mitä saa testata ja mitä havainto on arvoinen.

  1. Hakemus

    Ilmoitat verkkosivuston tai palvelun, palkkiot ja säännöt.

  2. Varmentaminen

    Vahvistat asiakirjoilla, että järjestelmä on sinun ja että saat allekirjoittaa sen omistajan puolesta.

  3. Sopimus ja ennakkomaksu

    Allekirjoitat sopimuksen ja maksat ennakkomaksun palkkioista ja provisiostamme.

  4. Ohjelma

    Ohjelma julkaistaan. Raportit tulevat sinulle tutkittuina, toistettuina ja pisteytettyinä.

  5. Palkkio

    Päätät palkkiosta palkkiotaulukkosi rajoissa. Maksamme tutkijalle, ja laskumme kattaa palkkion ja provisiomme.

Julkaise ohjelma

Tutkijoille

Valitset ohjelman, noudatat sen sääntöjä ja saat maksun siitä, mitä löydät.

  1. Rekisteröityminen

    Rekisteröidyt ja hyväksyt ehdot. Henkilöllisyytesi varmennetaan ennen ensimmäistä maksua.

  2. Ohjelma

    Valitset ohjelman ja luet sen laajuuden ja säännöt.

  3. Tutkimus

    Testaat ohjelman piirissä olevia kohteita ja lopetat, kun haavoittuvuus on todistettu.

  4. Raportti

    Raportoit alustan kautta. Tutkimme raportin 5 työpäivän kuluessa sen vastaanottamisesta.

  5. Palkkio

    Omistaja päättää palkkiosta 10 työpäivän kuluessa raportin vastaanottamisesta. Maksamme sen 10 työpäivän kuluessa päätöksestä.

Ryhdy tutkijaksi

02Varmentaminen

Ohjelman julkaisee vain omistaja

Ennen kuin ohjelma tulee näkyviin, tarkistamme, kuka sen julkaisee. Ilman tätä ohjelma olisi kutsu hyökätä jonkun toisen järjestelmään.

  • Omistaja

    Omistaja on yritys tai elinkeinonharjoittaja. Yritys toimittaa kaupparekisteriotteen, jonka tiedot tarkistamme suoraan rekisteristä. Yksityinen elinkeinonharjoittaja toimittaa otteen rekisteristä ja henkilöllisyystodistuksen.

  • Allekirjoittaja

    Yrityksen puolesta allekirjoittaa sen hallintoelimen jäsen tai henkilö, jolla on valtakirja.

  • Jokainen kohde

    Jokaisen verkkotunnuksen hallinta osoitetaan DNS-tietueella tai tiedostolla, jossa on antamamme koodi. Jos se ei ole mahdollista, hallinta osoitetaan asiakirjoilla: verkkotunnuksen rekisteröintitiedoilla tai palveluntarjoajan kanssa tehdyllä sopimuksella.

  • Kolmannet osapuolet

    Jos järjestelmä toimii hosting- tai pilvipalveluntarjoajan ympäristössä, noudatetaan tämän palveluntarjoajan tietoturvatestausta koskevia sääntöjä, ja sen suostumus hankitaan, jos säännöt sitä edellyttävät.

03Palkkiot ja provisio

Mitä havainto on arvoinen ja kuka maksaa kenelle

  • Omistaja määrittää palkkiot

    Ohjelmalla on palkkiotaulukko vakavuuden mukaan: matala, keskitaso, korkea ja kriittinen. Ohjelman palkkio on vähintään 50 €.

  • Yksi vakavuusasteikko

    Pisteytämme jokaisen vahvistetun havainnon CVSS 4.0 -asteikolla, jotta sama havainto on yhtä arvokas jokaisessa raportissa.

  • Tutkija saa koko palkkion

    Provisiomme on 20 % jokaisesta palkkiosta. Omistaja maksaa sen palkkion lisäksi.

  • Maksu alustan kautta

    Omistaja maksaa ennakkomaksun ennen ohjelman alkua. Maksamme palkkion tutkijalle 10 työpäivän kuluessa päätöksestä ja laskutamme omistajalta palkkion ja provisiomme.

  • Yksi palkkio yhdestä haavoittuvuudesta

    Palkkio maksetaan haavoittuvuuden ensimmäisestä raportista. Myöhempään raporttiin samasta haavoittuvuudesta vastataan, mutta siitä ei makseta.

  • Verot

    Palkkio maksetaan kokonaisuudessaan tilisiirtona varmennetulle tutkijalle tai hänen yritykselleen. Tutkija tai hänen yrityksensä maksaa siitä verot siellä, missä ne on maksettava.

04Säännöt

Jokaisen ohjelman säännöt

Ohjelma voi tiukentaa niitä. Se ei koskaan lievennä niitä.

  • Vain se, mikä on ohjelman piirissä

    Tutkija testaa ohjelmassa nimettyjä kohteita eikä mitään muuta. Jos säännöt ovat epäselviä, tutkija kysyy ennen testausta.

  • Omat tilit, omat tiedot

    Testaus tehdään tileillä, jotka tutkija on itse luonut. Jos pääsy muiden tietoihin tulee mahdolliseksi, tutkija lopettaa, kun pääsy on todistettu, eikä lue, kopioi tai säilytä tietoja.

  • Ei vahinkoa

    Ei palvelunestoa, roskapostia, käyttäjän manipulointia eikä fyysistä pääsyä, ellei ohjelma nimenomaisesti salli niitä.

  • Raportit vain alustalle

    Havainto raportoidaan alustan kautta. Sitä ei jaeta, myydä eikä julkaista.

  • Julkistaminen suostumuksella

    Julkinen kuvaus julkaistaan vasta korjauksen jälkeen ja omistajan suostumuksella.

  • Safe harbour

    Omistaja antaa luvan sääntöjen mukaiseen tutkimukseen eikä ryhdy toimiin sääntöjä noudattavia tutkijoita vastaan.

05Rajat

Mitä alusta ei salli

  • Ohjelma järjestelmälle, jonka omistajaa ei ole varmennettu
  • Sellaisen järjestelmän testaus, jota mikään ohjelma ei kata
  • Maksun vaatiminen ohjelman ulkopuolisesta havainnosta tai ehtojen asettaminen sen raportoinnille
  • Haavoittuvuuden hyödyntäminen enemmän kuin sen todistamiseen tarvitaan
  • Pääsy käyttäjien henkilötietoihin, niiden kopiointi tai paljastaminen
  • Korjaamattoman haavoittuvuuden julkaiseminen

06Lisää omistajille

Ennen ohjelmaa ja sen rinnalla

Ohjelma maksaa siitä, mikä on vaikea löytää. Muu löytyy nopeammin muilla keinoin.

  • Maksuton verkkosivuston tarkastus

    Ensimmäinen katsaus ulkopuolelta. Maksat raportista vain, jos löydämme haavoittuvuuksia.

  • Valmiuden arviointi

    Penetraatiotesti ennen ohjelman käynnistämistä, jotta palkkioita maksetaan siitä, mikä on vaikea löytää.

  • Haavoittuvuuksien ilmoitusohjelma

    Julkaistu käytäntö ja toimiva kanava raportteja varten ilman palkkioita. Perustaso jokaiselle verkossa olevalle tuotteelle.

  • Ohjelman hallinta

    Laadimme kanssasi käytännön, laajuuden ja palkkiotaulukon ja hoidamme ohjelmaa päivittäin.

07Pyytämätön raportti

Tuntematon ilmoitti haavoittuvuudesta. Mitä nyt?

Näin käy jokaiselle yritykselle, jolla on tuote verkossa. Useimmat raportit tulevat vilpittömässä mielessä toimivilta tutkijoilta. Vastauksesi ratkaisee, päätyykö seuraava raportti sinulle vai julkisuuteen.

Pyydä apua raportin kanssa
  1. Kuittaa raportti vastaanotetuksi päivän tai kahden kuluessa. Älä uhkaile äläkä lupaa maksua.
  2. Pyydä hallitsemasi kanavan kautta tekniset yksityiskohdat, joita ongelman toistaminen edellyttää.
  3. Varmista väite omassa järjestelmässäsi, ennen kuin puhut palkkiosta mitään.
  4. Korjaa ongelma ja kiitä sitten raportoijaa. Julkinen kiitos ei maksa mitään.
  5. Julkaise ohjelma tai haavoittuvuuksien ilmoittamiskäytäntö, jotta seuraava raportti tulee pääovesta.

08Kysymykset

Suoria kysymyksiä bug bountysta

Kuka voi julkaista ohjelman?

Yritys tai elinkeinonharjoittaja, joka omistaa verkkosivuston tai palvelun tai jonka sen omistaja on valtuuttanut. Yksityishenkilöiden ohjelmia ei hyväksytä. Ohjelma julkaistaan, kun omistaja on varmennettu ja sopimus allekirjoitettu.

Mitä ohjelma maksaa?

Palkkiot, jotka päätät maksaa, ja provisiomme, joka on 20 % jokaisesta niistä. Julkaisu, varmentaminen ja raporttien tutkiminen sisältyvät hintaan.

Voiko ohjelma olla yksityinen?

Voi. Yksityinen ohjelma on avoin hyväksymillesi tutkijoille, eikä sitä näytetä ohjelmaluettelossa.

Kuka päättää, onko raportti pätevä?

Tutkimme, toistamme ja pisteytämme jokaisen raportin. Omistaja päättää palkkiosta ohjelman palkkiotaulukon rajoissa. Jos omistaja on eri mieltä pisteytyksestä, tutkimme raportin uudelleen, ja tämä pisteytys on lopullinen.

Osallistuuko oma tiiminne ohjelmiin?

Ei. Emme koskaan raportoi oman alustamme ohjelmiin. Tiimimme etsii haavoittuvuuksia muiden alustojen ohjelmissa ja noudattaa niiden sääntöjä.

Voiko järjestelmää testata, jos sillä ei ole ohjelmaa?

Ei. Ilman omistajan lupaa se ei ole tutkimusta vaan rikos. Alusta ei ota vastaan raportteja järjestelmistä, jotka eivät kuulu sen ohjelmiin.

Korvaako bug bounty penetraatiotestin?

Ei. Tutkijat valitsevat itse, mitä tutkivat, eikä kukaan takaa kattavuutta. Penetraatiotesti kattaa sovitun laajuuden järjestelmällisesti. Säännöllisen testauksen rinnalla toimiva ohjelma löytää sen, minkä kumpikin yksinään jättäisi huomaamatta.

Tekeekö safe harbour tutkimuksesta laillista?

Safe harbour on omistajan sitoumus olla ryhtymättä toimiin sääntöjä noudattavia tutkijoita vastaan. Se ei muuta rikoslakia eikä sido kolmansia osapuolia. Siksi sääntöjä noudatetaan tarkasti ja tehdyistä toimista pidetään kirjaa.