Retningslinjer for sårbarhetsrapportering

Disse retningslinjene gjelder sikkerhetsforskning på systemene til Osaühing Ida Portal («Operatøren», «vi») som er oppført i dette punktet.

Innenfor omfanget er:

1. (a)nettstedet securitytest.team og sidene på alle språk;
2. (b)grensesnittet som tar imot forespørslene fra skjemaet: https://securitytest.team/api/leads.

Utenfor omfanget er:

1. (a)systemene til kundene våre. De omfattes aldri av disse retningslinjene, uansett hva du vet om arbeidet vårt for dem;
2. (b)tredjeparters tjenester som nettstedet bruker, herunder hostingplattformen og kontrollen mot misbruk. Sårbarheter i dem rapporteres til dem som driver tjenestene;
3. (c)kontoene til personellet vårt på enhver plattform, og personellet selv.

En sikkerhetsforsker som handler etter disse retningslinjene:

1. (a)undersøker bare det som er innenfor omfanget;
2. (b)forringer ikke tjenesten: utfører ingen tjenestenektangrep, oversvømmer ikke skjemaene og skanner ikke med en hastighet som påvirker tilgjengeligheten;
3. (c)bruker ikke sosial manipulering, phishing eller fysisk tilgang;
4. (d)leser, endrer eller beholder ikke data som ikke tilhører sikkerhetsforskeren. En sikkerhetsforsker som har fått tilgang til slike data, stanser, kopierer ikke dataene og rapporterer straks;
5. (e)bruker den minst omfattende handlingen som beviser sårbarheten;
6. (f)gir oss rimelig tid til å utbedre sårbarheten før sikkerhetsforskeren utleverer den til noen andre;
7. (g)overholder loven som gjelder for sikkerhetsforskeren.

Som innehaver av rettighetene til systemene som er oppført i punkt 1, tillater vi sikkerhetsforskning på disse systemene som utføres i god tro og i samsvar med disse retningslinjene. Tillatelsen omfatter bare disse systemene og bare handlingene disse retningslinjene tillater.

For slik sikkerhetsforskning anmelder vi ikke sikkerhetsforskeren og fremmer ikke sivile krav mot sikkerhetsforskeren, herunder krav etter Vilkårene for bruk. Hvis en offentlig myndighet eller noen andre spør, bekrefter vi at vi har tillatt sikkerhetsforskningen.

Disse forpliktelsene er bare våre. De binder ikke offentlige myndigheter, omfatter ikke tredjeparters systemer og tjenester, herunder leverandørene nettstedet bruker, som Cloudflare, Inc., og erstatter ikke retten i en annen stat som gjelder for sikkerhetsforskeren. En sikkerhetsforsker som er i tvil om en handling er innenfor disse retningslinjene, spør før handlingen utføres.

En rapport sendes til info@securitytest.team. Ikke ta med detaljene som gjør det mulig å utnytte sårbarheten, i den første meldingen: Vi svarer med en sikker kanal for dem.

En nyttig rapport inneholder:

1. (a)adressen og parameteren eller komponenten det gjelder;
2. (b)stegene for å gjenskape sårbarheten fra en ren utgangstilstand;
3. (c)hva en angriper kunne oppnå;
4. (d)sikkerhetsforskerens egen vurdering av alvorlighetsgraden, hvis det finnes en.

Den maskinlesbare versjonen av kontaktopplysningene våre er publisert på https://securitytest.team/.well-known/security.txt.

En sårbarhet i programvare eller i en tjeneste fra en tredjepart som mange bruker, kan også rapporteres til den estiske informasjonssystemmyndigheten (Riigi Infosüsteemi Amet), som er Estlands koordinator for koordinert offentliggjøring av sårbarheter, anonymt hvis sikkerhetsforskeren ønsker det (§ 5 tredje ledd nr. 4 og § 8¹ annet ledd i cybersikkerhetsloven).

En sikkerhetsforsker som har sendt en rapport, får:

1. (a)en bekreftelse på mottak innen 3 arbeidsdager;
2. (b)en vurdering av rapporten og et ærlig svar, også når vi er uenige i den;
3. (c)informasjon om utbedringen når den er tatt i bruk;
4. (d)en offentlig kreditering, hvis sikkerhetsforskeren ønsker det.

Vi utbetaler ingen belønninger for rapporter om dette nettstedet. Disse retningslinjene er retningslinjer for sårbarhetsrapportering og ikke et bug bounty-program.

En sikkerhetsforskers personopplysninger behandles i samsvar med Personvernerklæringen, som angir mottakerne av dem. Vi utleverer ikke en sikkerhetsforskers identitet til noen andre uten sikkerhetsforskerens samtykke, med mindre loven krever det.