Програма Bug Bounty

1. За програмата Bug Bounty

Програмата Bug Bounty има за цел да повиши сигурността на приложенията и услугите на Vivid Money.
Програмата Bug Bounty е предназначена за външни изследователи, които приемат правилата и условията на тази програма.
Всички заявки от външни изследователи се разглеждат индивидуално.
Възнаграждения по програмата Bug Bounty са възможни само при спазване на правилата и условията, описани в тази програма.
Компанията Vivid Money си запазва правото да не отговаря на заявки за изследвания, да откаже възнаграждение, да изиска допълнителна информация, както и да променя правилата и условията на програмата.

2. Политика за поверителност

Всякакви взаимодействия в рамките на програмата Bug Bounty са възможни само след подписване на NDA (споразумение за неразгласяване) между Vivid Money и изследователя.
Без писменото съгласие на Vivid Money на изследователите е забранено да разкриват открити уязвимости, информация за открити уязвимости, както и да споделят каквато и да е информация за работата по търсене на уязвимости в приложенията и услугите на Vivid Money.
Vivid Money си запазва правото да отказва заявки за публично разкриване на уязвимости, открити в приложенията и услугите на Vivid Money.

3. Обхват за изследователите

Vivid Money е екосистема от различни приложения и услуги, достъпни чрез единния потребителски интерфейс на мобилното приложение и уеб ресурси.
Обхватът за търсене на уязвимости е:

*.vivid.money
Мобилно приложение за iOS: https://apps.apple.com/de/app/id1504417378
Мобилно приложение за Android: https://play.google.com/store/apps/details?id=vivid.money

Заявки извън този обхват няма да бъдат разглеждани.

4. Ограничения

Програмата Bug Bounty обхваща само технически и логически уязвимости, които може да се съдържат в приложенията и услугите на Vivid Money.
Програмата Bug Bounty не обхваща уязвимости от следните категории:

Спам.
Уязвимости, които изискват социално инженерство/фишинг.
Сигнали за фишинг и други техники на социално инженерство.
DDOS атаки.
Хипотетични проблеми без практическо въздействие.
Уязвимости в сигурността на приложения/библиотеки на трети страни и на уебсайтове на трети страни, интегрирани с Vivid Money.
Резултати от скенери или генерирани от скенери отчети.
Проблеми, открити чрез автоматизирано тестване.
Публично оповестени грешки в интернет софтуер в рамките на 30 дни от разкриването им.
Атаки от типа Man-in-the-Middle.
Инжектиране в Host header без конкретно, доказуемо въздействие.
Self-XSS без възможност за атака срещу други потребители.
Login/logout CSRF.
CSRF и XSS без въздействие върху чувствителни данни.
Заобикаляне на проверката за root и jailbreak.
Сигнали за възможността за обратно инженерство на мобилното приложение.
Информация за IP адреси, DNS записи и отворени портове.
Разкриване на публична информация за потребители.
Clickjacking.
Сигнали за недостатъци при използването на SMS кодове.
Възможност за неограничено изпращане на SMS и имейли.
Сигнали за неправилно закръгляне при конвертиращи преводи между разплащателни, спестовни и брокерски сметки.
Липса на препоръчителни механизми за сигурност без допълнителен вектор на атака (например HTTP заглавки за сигурност, флагове за сигурност на бисквитките или защита от CSRF).
Несигурно конфигуриран TLS или SSL без вектор на атака.
Open Redirect без допълнителен вектор на атака (например кражба на токен за оторизация).
Подмяна на съдържанието на страницата.
Уязвимости, които изискват сложни или малко вероятни сценарии на взаимодействие с потребителя.
Tabnabbing.
Full Path Disclosure.
Уязвимости, чието необходимо условие е наличието на зловреден софтуер, root права или Jailbreak на устройството.
Използване на остарял или потенциално уязвим софтуер без допълнителен вектор на атака.
Разкриване на техническа или нечувствителна информация (например версии на продукти или използван софтуер).
Проблеми, свързани с Cache-control.
Липса на флагове за сигурност в бисквитките.
UX/UI грешки и правописни грешки.
Broken Link Hijacking.
Проблеми с мобилното приложение:

5. Правила и условия

5.1 Общи правила

При търсене на уязвимости в приложенията и услугите на Vivid Money трябва да се спазват следните правила:

За тестване използвайте само собствените си акаунти.
Можете да използвате идентификационните данни на други потребители за тестване, при условие че те изрично са се съгласили да ги предоставят.
Vivid Money не предоставя допълнителни достъпи и акаунти (включително тестови акаунти) за тестване.
Забранени са всякакви опити за достъп до чужди идентификационни данни на потребители на приложенията и услугите на Vivid Money.
При търсене на уязвимости е забранено да се нарушават целостта, достъпността и поверителността на приложенията и услугите на Vivid Money.
Забранена е всяка дейност, която може да навреди на приложенията, инфраструктурата, клиентите и партньорите на компанията.
Забележка: примери за забранени дейности: социално инженерство, фишинг, атаки за отказ на услуга, компрометиране
За потвърждаване на наличието на уязвимости трябва да се използва минимално достатъчен набор от проверки. Проверките не трябва да засягат други потребители или работата на приложенията и услугите на Vivid Money
Забележка: ако това условие не е изпълнено, изследването на уязвимости е строго забранено.

5.2 Приоритетен ред на заявките

Заявки, свързани с подобни уязвимости, могат да се разглеждат с приоритет:

Отдалечено изпълнение на код (RCE).
Инжекции (например SQL инжекции).
XXE.
LFR/LFI/RFI.
SSRF.
Изтичане на памет.
Уязвимости в бизнес логиката.
IDOR.
Уязвимости в контрола на достъпа.
Разкриване на чувствителна информация.
Превземане на акаунт.
Липса на удостоверяване / оторизация.
XSS и CSRF с въздействие върху чувствителни данни.

5.3 Правила за тестване на RCE

При тестване на RCE са забранени всякакви действия на сървъра, освен:

Изпълнение на командите ifconfig (ipconfig), hostname, whoami.
Създаване на празен файл в директорията на текущия потребител.

Всички други действия трябва да се съгласуват с екипа по сигурността на Vivid Money.

5.4 Правила за тестване на SQL инжекции

При тестване на SQL инжекции са забранени всякакви действия на сървъра, освен:

Получаване на информация за текущата база данни, нейната версия, текущия потребител или hostname.
Получаване на схемата на базата данни, списъка с таблиците в нея и имената на колоните в таблиците.
Изпълнение на математически, конвертиращи или логически заявки (включително със SLEEP) без извличане на данни (освен изброените по-горе).

Всички други действия трябва да се съгласуват с екипа по сигурността на Vivid Money.

5.5 Правила за качване и четене на файлове

При тестване на качването и четенето на файлове е забранено да се извършват следните действия:

Четене, промяна, модифициране, изтриване и подмяна на каквито и да е файлове на сървъра (включително системни файлове).
Качване на файлове, които могат да причинят отказ на услуга (например големи файлове).
Качване на зловредни файлове (например зловреден или шпионски софтуер).

6. Определяне на критичността на уязвимостта

Нивото на критичност на откритите уязвимости се определя от екипа по сигурността на Vivid Money.
След като получи доклада от изследователите, екипът по сигурността на Vivid Money извършва собствени проверки и определя нивото на критичност на откритата уязвимост.
При определянето на нивото на критичност се вземат предвид и следните фактори:

Нивото на привилегии, необходимо за осъществяване на атаката.
Трудност при откриване и експлоатация.
Наличие на изискване за взаимодействие с потребителя.
Въздействие върху целостта, достъпността и поверителността на засегнатите данни.
Въздействие върху бизнес и репутационните рискове.
Броят на засегнатите потребители.

7. Изисквания към доклада

Един доклад трябва да описва една уязвимост. Изключение правят случаите, когато уязвимостите са свързани или могат да се комбинират във верига.
Докладът за уязвимост трябва да съдържа следната информация:

Описание на уязвимостта (оценка, въздействие, критичност и др.).
Вектор на атака.
Стъпки за възпроизвеждане.
Анализ на критичността.
Препоръки за отстраняване.
Вид на уязвимостта.
Екранни снимки или видео, които потвърждават наличието на уязвимостта и показват стъпките за възпроизвеждане.
Пример за форматирана заявка.

Неспазването на изискванията към доклада може да доведе до намаляване на размера на възнаграждението.
Ако докладът не съдържа достатъчно данни за проверка на уязвимостта, възнаграждение не се изплаща.

8. Срок за разглеждане на доклада

Всеки доклад се разглежда индивидуално от екипа по сигурността на Vivid Money.
Продължителността на разглеждането зависи от степента на критичност на откритата уязвимост и натовареността на екипа.
Средно всеки доклад се разглежда в рамките на ДВЕ СЕДМИЦИ.

9. Възнаграждения

Възнаграждение се изплаща само за откриване на неизвестни досега уязвимости.
Изплащането се извършва при спазване на всички условия, правила и ограничения на тази програма, а при нарушаването им възнаграждение не се изплаща.

10. Изплащане на възнаграждението

Възнаграждението се изплаща само за първия получен доклад за откритата уязвимост.
Изплащането се извършва, при условие че докладът съдържа цялата информация, необходима за потвърждаване на уязвимостта.
Всички следващи доклади за същата уязвимост или с подобни вектори на атака ще бъдат отбелязани като дубликати.
Размерът на изплатеното възнаграждение е окончателен и не подлежи на договаряне.
Изплащането се извършва, при условие че изследователят изпрати цялата информация, поискана във фактурата. Фактурата ще бъде изпратена отделно за попълване.

11. Контакти

Информацията за откритите уязвимости трябва да се изпраща на [email protected].
Темата на имейла трябва да започва с фразата [BugBountyReport]. Пример: [BugBountyReport]: SQL инжекция.