1. O programu Bug Bounty

Program Bug Bounty slouží ke zvýšení bezpečnosti aplikací a služeb Vivid Money. Program Bug Bounty je určen externím výzkumníkům, kteří přijmou podmínky tohoto programu. Všechny žádosti externích výzkumníků se posuzují individuálně. Odměny v rámci programu Bug Bounty lze vyplatit pouze za podmínek popsaných v tomto programu. Společnost Vivid Money si vyhrazuje právo neodpovědět na žádosti výzkumníků, odepřít nárok na odměnu, vyžádat si další informace a také změnit pravidla a podmínky programu.

2. Zásady ochrany soukromí

Jakákoli interakce v rámci programu Bug Bounty je možná pouze po podpisu dohody o mlčenlivosti (NDA) mezi Vivid Money a výzkumníkem. Bez písemného souhlasu Vivid Money nesmějí výzkumníci zveřejňovat nalezené zranitelnosti ani informace o nich, ani sdílet jakékoli informace o práci související s hledáním zranitelností v aplikacích a službách Vivid Money. Vivid Money si vyhrazuje právo odmítnout žádosti o zveřejnění zranitelností nalezených v aplikacích a službách Vivid Money.

3. Rozsah pro výzkumníky

Vivid Money je ekosystém složený z různých aplikací a služeb, které jsou dostupné přes jednotné uživatelské rozhraní mobilní aplikace a webové zdroje. Zranitelnosti lze hledat v tomto rozsahu:

*.vivid.money
Mobilní aplikace iOS: https://apps.apple.com/de/app/id1504417378
Mobilní aplikace Android: https://play.google.com/store/apps/details?id=vivid.money

Žádosti mimo tento rozsah se nebudou posuzovat.

4. Omezení

Program Bug Bounty se omezuje pouze na technické a logické zranitelnosti, které se mohou vyskytovat v aplikacích a službách Vivid Money. Program Bug Bounty se nevztahuje na zranitelnosti spadající do některé z těchto kategorií:

Spam.
Zranitelnosti vyžadující sociální inženýrství/phishing.
Hlášení phishingu a dalších technik sociálního inženýrství.
Útoky DDOS.
Hypotetické problémy bez praktického dopadu.
Bezpečnostní zranitelnosti v aplikacích/knihovnách třetích stran a na webech třetích stran integrovaných s Vivid Money.
Výstupy skenerů nebo reporty vygenerované skenery.
Problémy nalezené automatizovaným testováním.
Veřejně zveřejněné chyby v internetovém softwaru do 30 dnů od jejich zveřejnění.
Útoky typu Man-in-the-Middle.
Injekce hlavičky Host bez konkrétního, prokazatelného dopadu.
Self-XSS bez možnosti napadnout jiné uživatele.
CSRF při přihlášení/odhlášení.
CSRF a XSS bez vlivu na citlivá data.
Obejití kontroly rootu a jailbreaku.
Hlášení o možnosti reverzního inženýrství mobilní aplikace.
Informace o IP adresách, záznamech DNS a otevřených portech.
Zveřejnění veřejných informací o uživatelích.
Clickjacking.
Hlášení o nevýhodách používání SMS kódů.
Možnost neomezeně odesílat SMS a e-maily.
Hlášení o nesprávném zaokrouhlování při převodech mezi odhadovanými, kumulativními a makléřskými účty.
Absence doporučených bezpečnostních mechanismů bez dalšího vektoru útoku (například bezpečnostní hlavičky HTTP, bezpečnostní příznaky cookies nebo ochrana proti CSRF).
Nebezpečně nakonfigurované TLS nebo SSL bez vektoru útoku.
Open Redirect bez dalšího vektoru útoku (například krádeže autorizačního tokenu).
Podvržení obsahu na stránce.
Zranitelnosti, které vyžadují složité nebo nepravděpodobné scénáře interakce uživatele.
Tabnabbing.
Full Path Disclosure.
Zranitelnosti, jejichž nutnou podmínkou je přítomnost škodlivého softwaru, práv root nebo jailbreaku v zařízení.
Používání zastaralého nebo potenciálně zranitelného softwaru bez dalšího vektoru útoku.
Zveřejnění technických nebo necitlivých informací (například verzí produktů nebo použitého softwaru).
Problémy související s Cache-control.
Chybějící bezpečnostní příznaky v cookies.
Chyby UX/UI a překlepy.
Broken Link Hijacking.
Problémy s mobilní aplikací:

5. Pravidla a podmínky

5.1 Obecná pravidla

Při hledání zranitelností v aplikacích a službách Vivid Money je nutné dodržovat tato pravidla:

K testování používejte pouze vlastní účty.
Přihlašovací údaje jiných uživatelů můžete k testování použít, pokud s jejich poskytnutím výslovně souhlasili.
Vivid Money pro testování nevydává další přístupy ani účty (včetně testovacích účtů).
Jakékoli pokusy o přístup k cizím přihlašovacím údajům uživatelů aplikací a služeb Vivid Money jsou zakázány.
Při hledání zranitelností je zakázáno narušit integritu, dostupnost a důvěrnost aplikací a služeb Vivid Money.
Jakákoli činnost, která by mohla poškodit aplikace, infrastrukturu, zákazníky a partnery společnosti, je zakázána. Poznámka: příklady zakázaných činností: sociální inženýrství, phishing, útoky typu odepření služby, kompromitace
K potvrzení zranitelnosti je třeba použít minimální přiměřenou sadu kontrol. Kontroly nesmějí ovlivnit jiné uživatele ani výkon aplikací a služeb Vivid Money Poznámka: pokud tato podmínka není splněna, je zkoumání zranitelností přísně zakázáno.

5.2 Pořadí priority žádostí

Žádosti týkající se podobných zranitelností se mohou posuzovat v tomto pořadí priority:

Vzdálené spuštění kódu (RCE).
Injekce (například SQL injekce).
XXE.
LFR/LFI/RFI.
SSRF.
Úniky paměti.
Zranitelnosti obchodní logiky.
IDOR.
Zranitelnosti řízení přístupu.
Zveřejnění citlivých informací.
Převzetí účtu.
Chybějící autentizace / autorizace.
XSS a CSRF s dopadem na citlivá data.

5.3 Pravidla testování RCE

Při testování RCE jsou na serveru zakázány jakékoli akce kromě:

Spuštění příkazů ifconfig (ipconfig), hostname, whoami.
Vytvoření prázdného souboru v adresáři aktuálního uživatele.

Všechny ostatní akce je nutné koordinovat s bezpečnostním týmem Vivid Money.

5.4 Pravidla testování SQL injekcí

Při testování SQL injekcí jsou na serveru zakázány jakékoli akce kromě:

Získání informací o aktuální databázi, její verzi, aktuálním uživateli nebo názvu hostitele.
Získání schématu databáze, seznamu jejích tabulek a názvů sloupců v tabulkách.
Provádění matematických, konverzních nebo logických dotazů (včetně použití SLEEP) bez získávání dat (kromě výše uvedených).

Všechny ostatní akce je nutné koordinovat s bezpečnostním týmem Vivid Money.

5.5 Pravidla pro nahrávání a čtení souborů

Při testování nahrávání a čtení souborů je zakázáno provádět tyto akce:

Čtení, změny, úpravy, mazání a nahrazování jakýchkoli souborů na serveru (včetně systémových souborů).
Nahrávání souborů, které by mohly způsobit odepření služby (například velkých souborů).
Nahrávání škodlivých souborů (například malwaru nebo spywaru).

6. Určení závažnosti zranitelnosti

Úroveň závažnosti nalezených zranitelností určuje bezpečnostní tým Vivid Money. Po obdržení reportu od výzkumníků provede bezpečnostní tým Vivid Money vlastní kontroly a určí úroveň závažnosti nalezené zranitelnosti. Při určování úrovně závažnosti se zohledňují také tyto faktory:

Úroveň oprávnění potřebných k provedení útoku.
Obtížnost odhalení a zneužití.
Nutnost interakce s uživatelem.
Dopad na integritu, dostupnost a důvěrnost dotčených dat.
Dopad na obchodní a reputační rizika.
Počet dotčených uživatelů.

7. Požadavky na report

Jeden report má popisovat jednu zranitelnost. Výjimkou jsou případy, kdy jsou zranitelnosti propojené nebo je lze spojit do řetězce. Report o zranitelnosti má obsahovat tyto informace:

Popis zranitelnosti (hodnocení, dopad, závažnost atd.).
Vektor útoku.
Kroky k reprodukci.
Analýzu závažnosti.
Doporučení k odstranění.
Typ zranitelnosti.
Snímky obrazovky nebo video, které potvrzují existenci zranitelnosti a ukazují kroky k reprodukci.
Příklad naformátovaného dotazu.

Nesplnění požadavků na report může vést ke snížení výše odměny. Pokud report neobsahuje dostatek dat k ověření zranitelnosti, odměna se nevyplácí.

8. Doba posouzení reportu

Každý report posuzuje bezpečnostní tým Vivid Money individuálně. Doba posouzení reportu závisí na závažnosti nalezené zranitelnosti a vytížení týmu. Průměrně se každý report posoudí do DVOU TÝDNŮ.

9. Odměny

Odměna se vyplácí pouze za objevení dosud neznámých zranitelností. Výplata probíhá za dodržení všech podmínek, pravidel a omezení tohoto programu. Při jejich porušení se odměna nevyplácí.

10. Výplata odměny

Odměna se vyplácí pouze za první přijatý report o nalezené zranitelnosti. Výplata proběhne, pokud report obsahuje všechny informace potřebné k potvrzení zranitelnosti. Všechny další reporty o stejné zranitelnosti nebo s podobnými vektory útoku budou označeny jako duplicitní. Výše vyplacené odměny je konečná a nelze o ní vyjednávat. Výplata proběhne pod podmínkou, že výzkumník zašle všechny informace požadované ve faktuře. Fakturu k vyplnění zašleme zvlášť.

11. Kontakty

Informace o nalezených zranitelnostech zasílejte na bugbounty@vivid.money. Předmět e-mailu má začínat frází [BugBountyReport]. Příklad: [BugBountyReport]: SQL injection.