Program Ujawniania Luk w Bezpieczeństwie
LiveAgent dąży do utrzymania bezpieczeństwa swojej usługi dla wszystkich, a bezpieczeństwo danych ma najwyższą wagę. Nasz Program Ujawniania Luk w Bezpieczeństwie ma na celu zminimalizowanie wpływu wszelkich błędów bezpieczeństwa na nasze narzędzia lub ich użytkowników. Program Ujawniania Luk w Bezpieczeństwie LiveAgent obejmuje oprogramowanie napisane częściowo lub głównie przez Quality Unit.
Jeśli jesteś badaczem bezpieczeństwa i odkryłeś lukę w bezpieczeństwie w Usłudze, doceniamy Twoją pomoc w ujawnieniu jej nam prywatnie i daniu nam możliwości naprawienia jej przed opublikowaniem szczegółów technicznych.
LiveAgent będzie współpracować z badaczami bezpieczeństwa, gdy luki w bezpieczeństwie zostaną nam zgłoszone w sposób opisany tutaj. Będziemy weryfikować, reagować i naprawiać luki w bezpieczeństwie w ramach naszego zaangażowania na rzecz bezpieczeństwa i prywatności. Nie będziemy podejmować działań prawnych, zawieszać ani kończyć dostępu do Usługi osób, które odkrywają i zgłaszają luki w bezpieczeństwie w odpowiedzialny sposób. LiveAgent zastrzega sobie wszystkie swoje prawa w przypadku jakiegokolwiek niezastosowania się do warunków.
Zgłaszanie
Podziel się szczegółami wszelkich podejrzewanych luk w bezpieczeństwie z Zespołem Rozwojowym LiveAgent na adres support@liveagent.com . Prosimy nie ujawniać publicznie tych szczegółów poza tym procesem bez wyraźnej zgody.
Zgłaszając wszelkie podejrzewane luki w bezpieczeństwie, prosimy dołączyć jak najwięcej informacji. Jeśli chcesz przesłać wiele raportów jednocześnie, prosimy przesłać tylko jeden raport (najważniejszy, jeśli to możliwe) i czekaj na odpowiedź.
Wynagrodzenie
Z przyjemnością oferujemy nagrodę za informacje o lukach w bezpieczeństwie, które pomagają nam chronić naszych klientów, jako podziękowanie dla badaczy bezpieczeństwa, którzy zdecydują się uczestniczyć w naszym programie bug bounty. Regularna nagroda wynosi 100 USD za lukę w bezpieczeństwie przesłaną i zweryfikowaną przez nasz zespół rozwojowy.
Nagrodę otrzyma tylko pierwszy zgłaszający lukę w bezpieczeństwie. Zduplikowane raporty nie będą nagradzane.
Zakres
Możesz testować tylko konto LiveAgent, którego jesteś Właścicielem Konta lub Agentem upoważnionym przez Właściciela Konta do przeprowadzenia takiego testowania. Na przykład:
- twojadomena.ladesk.com
Nagradzane Typy Luk w Bezpieczeństwie
Nagrodzimy Cię za następujące typy luk w bezpieczeństwie:
- Zdalne Wykonanie Poleceń (RCE)
- Wstrzyknięcie SQL
- Złamane Uwierzytelnianie
- Złamane Zarządzanie Sesją
- Obejście Kontroli Dostępu
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Otwarte Przekierowanie URL
- Przechodzenie Katalogów
Uwaga: Raporty dotyczące sytuacji, w których atakujący może zagrażać tylko swojemu własnemu kontu z rolą Admin, nie będą nagradzane nagrodą. XSS spowodowany przez Admina nie będzie nagradzany nagrodą.
Aby się kwalifikować, luka w bezpieczeństwie musi istnieć w najnowszej publicznej wersji (w tym oficjalnie wydanych publicznych betach) oprogramowania. Kwalifikować się będą tylko luki w bezpieczeństwie. Chętnie przyjmiemy zgłoszenia innych błędów za pośrednictwem odpowiednich kanałów, ale ponieważ celem tego programu jest naprawianie luk w bezpieczeństwie, tylko błędy prowadzące do luk w bezpieczeństwie będą kwalifikować się do nagród. Inne błędy będą akceptowane według naszego uznania.
Wytyczne
Prosimy przestrzegać następujących wytycznych, aby kwalifikować się do nagród w ramach tego programu ujawniania:
- Nie modyfikuj na stałe ani nie usuwaj danych hostowanych przez LiveAgent.
- Nie uzyskuj dostępu do niepublicznych danych LiveAgent więcej niż jest to konieczne do wykazania luki w bezpieczeństwie.
- Nie przeprowadzaj ataków DDoS ani w inny sposób nie zakłócaj, nie przerywaj ani nie degraduj naszych usług wewnętrznych lub zewnętrznych.
- Nie udostępniaj poufnych informacji uzyskanych od LiveAgent, w tym między innymi informacji o płatnościach członków lub darczyńców, żadnej stronie trzeciej.
- Social engineering jest poza zakresem. Nie wysyłaj wiadomości phishingowych do nikogo, w tym pracowników QualityUnit, członków, dostawców lub partnerów, ani nie używaj innych technik social engineeringu.
Ponadto prosimy dać nam co najmniej 90 dni na naprawienie luki w bezpieczeństwie przed publicznym omówieniem lub napisaniem o niej na blogu. Nasz zespół uważa, że badacze bezpieczeństwa mają prawo do zgłaszania swoich badań i że ujawnianie jest wysoce korzystne, i rozumie, że jest to wysoce subiektywne pytanie o to, kiedy i jak wstrzymać szczegóły, aby złagodzić ryzyko, że informacje o lukach w bezpieczeństwie będą niewłaściwie wykorzystane. Jeśli uważasz, że wcześniejsze ujawnienie jest konieczne, daj nam znać, abyśmy mogli rozpocząć rozmowę.
Dziennik Zmian
Publicznie informujemy o wszystkich naprawionych problemach bezpieczeństwa za pośrednictwem naszego dziennika zmian . Problemy związane z bezpieczeństwem są oznaczone tagiem [Security].
