Program zgłaszania luk w zabezpieczeniach
Program zgłaszania luk w zabezpieczeniach
Warunki programu
Pamiętaj, że uczestnictwo w programie zgłaszania luk w zabezpieczeniach jest dobrowolne i podlega warunkom określonym na tej stronie. Zgłaszając do Paysery lukę w zabezpieczeniach strony internetowej lub produktu, potwierdzasz, że zapoznałeś się z warunkami tego programu i wyrażasz zgodę na ich stosowanie.
Niniejsze warunki programu uzupełniają warunki każdej innej umowy, którą zawarłeś z Payserą. W przypadku niespójności między warunkami umów z Payserą a niniejszymi warunkami programu, te drugie mają pierwszeństwo wyłącznie w odniesieniu do programu zgłaszania luk w zabezpieczeniach.
Wytyczne dotyczące zgłaszania problemów z bezpieczeństwem
Jeśli uważasz, że znalazłeś lukę w zabezpieczeniach Paysery, zgłoś ją nam za pomocą poczty elektronicznej [email protected]. Podaj szczegółowe kroki, które należy podjąć, aby odtworzyć problem, oraz krótki opis jego potencjalnego wpływu. Zachęcamy do odpowiedzialnego ujawniania informacji (zgodnie z opisem poniżej) i zobowiązujemy się do niezwłocznego zbadania wszystkich zasadnych zgłoszeń oraz jak najszybszego rozwiązania wszelkich potwierdzonych problemów.
Usługi objęte programem
Za objęte programem uznaje się wszystkie usługi Paysery, które przetwarzają stosunkowo wrażliwe dane użytkowników. Obejmuje to między innymi niemal wszystkie treści znajdujące się w następujących domenach: *.paysera.com.
Polityka odpowiedzialnego ujawniania informacji
Bezpieczeństwo środków, danych i komunikacji użytkowników jest dla Paysery najwyższym priorytetem. Aby zachęcić do odpowiedzialnego ujawniania informacji, nie podejmiemy działań prawnych przeciwko badaczom, którzy identyfikują luki w zabezpieczeniach, pod warunkiem że stosują się do zasad odpowiedzialnego ujawniania informacji, które obejmują między innymi:
Badając luki w zabezpieczeniach na stronie internetowej Paysery, kategorycznie zabrania się:
Jeśli nie zastosujesz się do tych zasad, Paysera może ograniczyć Twoje konto, zablokować Twój adres IP i podjąć inne działania prawne.
Zachęcamy do współpracy z programistami Paysery w zakresie odtwarzania, diagnozowania i naprawiania problemów. Stosujemy następujące wytyczne, aby określić, czy zgłoszenia kwalifikują się do programu, oraz ustalić wysokość nagrody.
Warunki uczestnictwa
Osoba nie kwalifikuje się do udziału w programie zgłaszania luk w zabezpieczeniach, jeśli:
Wysokość nagrody
Nagrody są przyznawane na podstawie stopnia dotkliwości luki w zabezpieczeniach. Im bardziej znacząca luka, tym wyższa nagroda za jej zgłoszenie. Szczególnie krytyczne są luki, które mogą prowadzić do strat finansowych lub zagrożenia bezpieczeństwa danych.
Mniejsza nagroda przyznawana jest za luki, które nie powodują następujących skutków:
Aby kwalifikować się do nagrody, luka w zabezpieczeniach musi spełniać następujące kryteria:
Jeśli wiele osób zgłosi tę samą lukę w zabezpieczeniach w tym samym czasie, nagroda zostanie podzielona między nie proporcjonalnie.
Wyższa nagroda może zostać przyznana w następujących przypadkach:
Jeśli raport spełnia wszystkie wymagania programu, wysokość nagród zostanie określona przez Payserę według jej własnego uznania. W żadnym wypadku Paysera nie jest zobowiązana do wypłaty nagrody za raporty wykraczające poza zakres programu zgłaszania luk w zabezpieczeniach. Wszystkie nagrody mogą być wypłacane wyłącznie w euro na zidentyfikowane konto Paysera. Nagroda może być również przekazana organizacjom Greenpeace, Czerwony Krzyż lub Caritas na życzenie badacza. Płatności za pomocą kryptowaluty lub innych systemów płatności niewymienionych na tej stronie nie są obsługiwane.
Określając wysokość nagrody, Paysera ocenia ryzyko, jakie stwarza luka w zabezpieczeniach, oraz potencjalny wpływ, jaki może mieć.
Przykłady luk w zabezpieczeniach
Przykłady luk kwalifikujących się do programu
Paysera zastrzega sobie prawo do decydowania, czy został spełniony minimalny próg kwalifikacyjny dotkliwości i czy luka została już zgłoszona.
-
Obejście uwierzytelnienia lub eskalacja uprawnień.
-
Clickjacking (gdy użytkownik zostaje nakłoniony do kliknięcia ukrytych lub zamaskowanych elementów strony internetowej).
-
Cross-site scripting (XSS) (luka umożliwiająca wstrzyknięcie dodatkowego kodu do strony internetowej przeglądanej przez użytkowników).
-
Cross-site request forgery (CSRF/XSRF)
-
Skrypty o mieszanej zawartości
-
Wykonywanie kodu po stronie serwera
-
Naruszenie danych użytkownika
-
Zdalne wykonywanie kodu
Przykłady luk niekwalifikujących się do programu
Zgłaszanie następujących luk w zabezpieczeniach jest mile widziane, ale nie doprowadzi do systematycznego wynagrodzenia ze strony Paysery:
-
Luki typu Denial of Service (DoS) lub problemy związane z ograniczeniem szybkości.
-
Możliwość wysyłania złośliwych linków do znanych osób.
-
Błędy w zabezpieczeniach w witrynach internetowych stron trzecich, które integrują się z API Paysery.
-
Luki w zabezpieczeniach związane z oprogramowaniem stron trzecich (np. Java, wtyczki, rozszerzenia) lub stroną internetową, chyba że prowadzą do luki w zabezpieczeniach na stronie Paysery.
-
Spam (w tym problemy związane z SPF/DKIM/DMARC).
-
Problemy z użytecznością, automatyczne wypełnianie formularzy.
-
Niezabezpieczone ustawienia w niewrażliwych plikach cookie.
-
Luki w pamięci podręcznej przeglądarki.
-
Luki w zabezpieczeniach (w tym XSS), które wymagają od potencjalnej ofiary zainstalowania niestandardowego oprogramowania lub podjęcia innych bardzo mało prawdopodobnych aktywnych kroków, aby stać się podatną na atak.
-
Ataki nietechniczne, takie jak socjotechnika, phishing lub ataki fizyczne na naszych pracowników, użytkowników lub infrastrukturę.
-
Luki w zabezpieczeniach (w tym XSS), które dotyczą tylko starszych przeglądarek/wtyczek.
-
Self-XSS (gdy użytkownik przypadkowo zainstaluje złośliwy kod na własnej stronie internetowej).
-
CSRF dla nieistotnych działań (wylogowanie itp.).
-
Ataki typu clickjacking bez udokumentowanej serii kliknięć, które powodują lukę w zabezpieczeniach.
-
Wstrzykiwanie treści, takie jak odzwierciedlony tekst lub znaczniki HTML.
-
Brakujące nagłówki HTTP, z wyjątkiem sytuacji, gdy ich brak nie pozwala na złagodzenie istniejącego ataku.
-
Obejście uwierzytelniania, które wymaga dostępu do oprogramowania/sprzętu.
-
Luki w zabezpieczeniach, które wymagają dostępu do haseł, tokenów lub systemu lokalnego (np. utrwalenie sesji).
-
Domniemane luki w zabezpieczeniach oparte wyłącznie na numerach wersji.
-
Błędy wymagające niezwykle mało prawdopodobnej interakcji użytkownika.
-
Ujawnienie informacji publicznych i informacji, które nie stanowią znaczącego ryzyka.
-
Skrypty lub inna automatyzacja oraz wymuszanie zamierzonej funkcjonalności.
-
Żądania naruszające politykę tego samego pochodzenia bez konkretnego scenariusza ataku (na przykład w przypadku korzystania z CORS, a pliki cookie nie są używane do uwierzytelniania lub nie są wysyłane wraz z żądaniami).
Wymagane informacje
Zgłaszając informacje o luce w zabezpieczeniach, podaj:
Niepodanie któregokolwiek z wymaganych elementów może skutkować wstrzymaniem lub opóźnieniem wypłaty nagrody.
Zgłaszaj nam wszelkie luki w zabezpieczeniach za pomocą poczty elektronicznej [email protected].
Ważne!
Nagrody nie mogą być przyznawane osobom objętym sankcjami ani obywatelom krajów znajdujących się na liście sankcji (Kuba, Iran, Korea Północna, Sudan, Syria). Jesteś odpowiedzialny za wszelkie podatki mające zastosowanie w oparciu o Twój kraj zamieszkania i obywatelstwo. Przepisy lokalne mogą nakładać dodatkowe ograniczenia, które mogą uniemożliwić Ci uczestnictwo w programie.
Niniejszy program nie jest konkursem, lecz eksperymentalną i uznaniową inicjatywą nagrodową. Pamiętaj, że Paysera może zakończyć program w dowolnym momencie.