Program zveřejnění zranitelností
LiveAgent se snaží udržovat svou službu bezpečnou pro všechny a bezpečnost dat je nanejvýš důležitá. Náš Program zveřejnění zranitelností je určen k minimalizaci dopadu, který mohou mít bezpečnostní chyby na naše nástroje nebo jejich uživatele. Program zveřejnění zranitelností LiveAgent se vztahuje na software částečně nebo primárně napsaný společností Quality Unit.
Pokud jste bezpečnostní výzkumný pracovník a objevili jste bezpečnostní zranitelnost v Službě, oceňujeme vaši pomoc při jejím soukromém zveřejnění a dáme nám příležitost ji opravit před zveřejněním technických podrobností.
LiveAgent bude spolupracovat s bezpečnostními výzkumnými pracovníky, když jsou nám zranitelnosti hlášeny, jak je popsáno zde. Budeme ověřovat, reagovat a opravovat zranitelnosti na podporu našeho závazku k bezpečnosti a ochraně soukromí. Nebudeme podnikat právní kroky proti těm, kteří objeví a odpovědně hlásí bezpečnostní zranitelnosti, ani je nebudeme pozastavovat nebo ukončovat přístup ke Službě. LiveAgent si vyhrazuje všechna svá právní práva v případě jakéhokoli nedodržení.
Hlášení
Sdílejte podrobnosti o jakýchkoli podezřelých zranitelnostech s vývojovým týmem LiveAgent na adrese support@liveagent.com . Prosím, nezveřejňujte tyto podrobnosti veřejně mimo tento proces bez výslovného povolení.
Při hlášení jakýchkoli podezřelých zranitelností prosím uveďte co nejvíce informací. Pokud chcete odeslat více zpráv najednou, prosím odešlete pouze jednu zprávu (nejdůležitější, pokud je to možné) a čekejte na odpověď.
Kompenzace
S potěšením nabízíme odměnu za informace o zranitelnostech, které nám pomáhají chránit naše zákazníky, jako poděkování bezpečnostním výzkumným pracovníkům, kteří se rozhodnou účastnit našeho programu bug bounty. Běžná odměna je 100 USD za zranitelnost odeslanou a ověřenou naším vývojovým týmem.
Odměnu poskytneme pouze prvnímu hlášejícímu zranitelnost. Duplicitní zprávy nebudou odměňovány.
Rozsah
Smíte testovat pouze účet LiveAgent, jehož jste vlastníkem účtu nebo jste Agent autorizovaný vlastníkem účtu k provádění takového testování. Například:
- vaše_doména.ladesk.com
Odměňované typy zranitelností
Odměníme vás za následující typy zranitelností:
- Vzdálené spuštění příkazů (RCE)
- SQL Injection
- Porušená autentizace
- Porušená správa relací
- Obejití kontroly přístupu
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Otevřené přesměrování URL
- Procházení adresářů
Poznámka: Zprávy o případech, kdy útočník může ohrozit pouze svůj vlastní účet s rolí Admin, nebudou odměňovány bounty. XSS způsobené správcem nebude odměňováno bounty.
Aby se zranitelnost kvalifikovala, musí existovat v nejnovější veřejné verzi (včetně oficiálně vydaných veřejných beta verzí) softwaru. Kvalifikují se pouze bezpečnostní zranitelnosti. Rádi bychom, aby lidé hlásili další chyby prostřednictvím příslušných kanálů, ale protože účelem tohoto programu je opravit bezpečnostní zranitelnosti, budou mít nárok na odměny pouze chyby, které vedou k bezpečnostním zranitelnostem. Ostatní chyby budou přijaty podle našeho uvážení.
Pokyny
Aby jste měli nárok na odměny v rámci tohoto programu zveřejnění, prosím dodržujte následující pokyny:
- Trvale neměňte ani neodstraňujte data hostovaná na LiveAgent.
- Neúmyslně nepřistupujte k neveřejným datům LiveAgent více, než je nezbytné k prokázání zranitelnosti.
- Neprovádějte DDoS ani jinak nenarušujte, nepřerušujte ani nezhoršujte naše interní nebo externí služby.
- Nesdílejte důvěrné informace získané od LiveAgent, včetně mimo jiné informací o platbách členů nebo dárců, s žádnou třetí stranou.
- Sociální inženýrství je mimo rozsah. Neposílejte phishingové e-maily ani nepoužívejte jiné techniky sociálního inženýrství proti nikomu, včetně zaměstnanců QualityUnit, členů, prodejců nebo partnerů.
Kromě toho nám prosím dejte alespoň 90 dní na opravu zranitelnosti, než ji budete veřejně diskutovat nebo psát o ní na blogu. Náš tým věří, že bezpečnostní výzkumní pracovníci mají právo hlásit svůj výzkum a že zveřejnění je velmi přínosné, a chápe, že jde o vysoce subjektivní otázku, kdy a jak zadržet podrobnosti, aby se minimalizovalo riziko, že budou informace o zranitelnostech zneužity. Pokud si myslíte, že je dřívější zveřejnění nezbytné, prosím dejte nám vědět, abychom mohli zahájit rozhovor.
Protokol změn
Veřejně informujeme o všech opravených bezpečnostních problémech prostřednictvím našeho protokolu změn . Problémy související se zabezpečením jsou označeny značkou [Security].
