Πρόγραμμα Bug Bounty

1. Σχετικά με το πρόγραμμα Bug Bounty

Το πρόγραμμα Bug Bounty στοχεύει στη βελτίωση της ασφάλειας των εφαρμογών και των υπηρεσιών της Vivid Money.
Το πρόγραμμα Bug Bounty απευθύνεται σε εξωτερικούς ερευνητές που αποδέχονται τους όρους και τις προϋποθέσεις του.
Κάθε αίτημα εξωτερικού ερευνητή εξετάζεται μεμονωμένα.
Ανταμοιβές στο πλαίσιο του προγράμματος Bug Bounty καταβάλλονται μόνο σύμφωνα με τους όρους και τις προϋποθέσεις που περιγράφονται στο παρόν πρόγραμμα.
Η Vivid Money διατηρεί το δικαίωμα να μην απαντήσει σε αιτήματα ερευνητών, να αρνηθεί το δικαίωμα αμοιβής, να ζητήσει πρόσθετες πληροφορίες, καθώς και να αλλάξει τους κανόνες και τους όρους του προγράμματος.

2. Πολιτική απορρήτου

Οποιαδήποτε αλληλεπίδραση στο πλαίσιο του προγράμματος Bug Bounty είναι δυνατή μόνο μετά την υπογραφή συμφωνίας εμπιστευτικότητας (NDA) μεταξύ της Vivid Money και του ερευνητή.
Χωρίς τη γραπτή συναίνεση της Vivid Money, απαγορεύεται στους ερευνητές να δημοσιοποιούν τις ευπάθειες που εντοπίζουν, πληροφορίες για τις ευπάθειες αυτές, καθώς και οποιαδήποτε πληροφορία για την εργασία αναζήτησης ευπαθειών στις εφαρμογές και τις υπηρεσίες της Vivid Money.
Η Vivid Money διατηρεί το δικαίωμα να απορρίψει αιτήματα δημόσιας γνωστοποίησης ευπαθειών που εντοπίστηκαν στις εφαρμογές και τις υπηρεσίες της Vivid Money.

3. Πεδίο έρευνας

Η Vivid Money είναι ένα οικοσύστημα από διάφορες εφαρμογές και υπηρεσίες, διαθέσιμες μέσω ενιαίου περιβάλλοντος χρήσης της εφαρμογής για κινητά και μέσω διαδικτυακών πόρων.
Το πεδίο αναζήτησης ευπαθειών περιλαμβάνει:

*.vivid.money
Εφαρμογή για κινητά iOS: https://apps.apple.com/de/app/id1504417378
Εφαρμογή για κινητά Android: https://play.google.com/store/apps/details?id=vivid.money

Αιτήματα εκτός αυτού του πεδίου δεν εξετάζονται.

4. Περιορισμοί

Το πρόγραμμα Bug Bounty περιορίζεται αποκλειστικά σε τεχνικές και λογικές ευπάθειες που ενδέχεται να υπάρχουν στις εφαρμογές και τις υπηρεσίες της Vivid Money.
Το πρόγραμμα Bug Bounty δεν καλύπτει ευπάθειες που εμπίπτουν σε μία από τις ακόλουθες κατηγορίες:

Spam.
Ευπάθειες που απαιτούν κοινωνική μηχανική/phishing.
Αναφορές για phishing και άλλες τεχνικές κοινωνικής μηχανικής.
Επιθέσεις DDOS.
Υποθετικά ζητήματα χωρίς πρακτικό αντίκτυπο.
Ευπάθειες ασφαλείας σε εφαρμογές/βιβλιοθήκες τρίτων και σε ιστότοπους τρίτων που είναι ενσωματωμένοι με τη Vivid Money.
Αποτελέσματα ή αναφορές που παράγονται από σαρωτές.
Ζητήματα που εντοπίστηκαν με αυτοματοποιημένες δοκιμές.
Δημοσιοποιημένα σφάλματα σε λογισμικό του διαδικτύου εντός 30 ημερών από τη γνωστοποίησή τους.
Επιθέσεις Man-in-the-Middle.
Εισαγωγές στην κεφαλίδα Host χωρίς συγκεκριμένο, αποδείξιμο αντίκτυπο.
Self-XSS χωρίς δυνατότητα επίθεσης σε άλλους χρήστες.
CSRF σε σύνδεση/αποσύνδεση.
CSRF και XSS χωρίς επίδραση σε ευαίσθητα δεδομένα.
Παράκαμψη του ελέγχου root και jailbreak.
Αναφορές για τη δυνατότητα αντίστροφης μηχανικής της εφαρμογής για κινητά.
Πληροφορίες για διευθύνσεις IP, εγγραφές DNS και ανοιχτές θύρες.
Γνωστοποίηση δημόσιων πληροφοριών για χρήστες.
Clickjacking.
Αναφορές για μειονεκτήματα της χρήσης κωδικών SMS.
Η δυνατότητα απεριόριστης αποστολής SMS και email.
Αναφορές για εσφαλμένη υλοποίηση της στρογγυλοποίησης στις μετατροπές μεταφορών μεταξύ λογαριασμών εκτίμησης, σωρευτικών και χρηματιστηριακών λογαριασμών.
Έλλειψη συνιστώμενων μηχανισμών ασφαλείας χωρίς πρόσθετο διάνυσμα επίθεσης (για παράδειγμα, κεφαλίδες ασφαλείας HTTP, σημαίες ασφαλείας cookies ή προστασία CSRF).
Μη ασφαλής διαμόρφωση TLS ή SSL χωρίς διάνυσμα επίθεσης.
Open Redirect χωρίς πρόσθετο διάνυσμα επίθεσης (για παράδειγμα, κλοπή token εξουσιοδότησης).
Αντικατάσταση περιεχομένου σε σελίδα.
Ευπάθειες που απαιτούν σύνθετα ή απίθανα σενάρια αλληλεπίδρασης του χρήστη.
Tabnabbing.
Full Path Disclosure.
Ευπάθειες που προϋποθέτουν την ύπαρξη κακόβουλου λογισμικού, δικαιωμάτων root ή Jailbreak στη συσκευή.
Χρήση παρωχημένου ή δυνητικά ευάλωτου λογισμικού χωρίς πρόσθετο διάνυσμα επίθεσης.
Γνωστοποίηση τεχνικών ή μη ευαίσθητων πληροφοριών (για παράδειγμα, εκδόσεις προϊόντων ή λογισμικό που χρησιμοποιείται).
Ζητήματα σχετικά με το cache-control.
Έλλειψη σημαιών ασφαλείας στα cookies.
Σφάλματα UX/UI και ορθογραφικά λάθη.
Broken Link Hijacking.
Προβλήματα με την εφαρμογή για κινητά:

5. Κανόνες και προϋποθέσεις

5.1 Γενικοί κανόνες

Κατά την αναζήτηση ευπαθειών στις εφαρμογές και τις υπηρεσίες της Vivid Money, πρέπει να τηρούνται οι εξής κανόνες:

Για τις δοκιμές χρησιμοποιούνται μόνο οι δικοί σας λογαριασμοί.
Επιτρέπεται η χρήση διαπιστευτηρίων άλλων χρηστών για δοκιμές, εφόσον αυτοί έχουν συμφωνήσει ρητά να τα παραχωρήσουν.
Η Vivid Money δεν παρέχει πρόσθετες προσβάσεις ή λογαριασμούς (ούτε δοκιμαστικούς λογαριασμούς) για δοκιμές.
Απαγορεύεται κάθε προσπάθεια πρόσβασης σε διαπιστευτήρια άλλων χρηστών των εφαρμογών και των υπηρεσιών της Vivid Money.
Κατά την αναζήτηση ευπαθειών απαγορεύεται η παραβίαση της ακεραιότητας, της διαθεσιμότητας και της εμπιστευτικότητας των εφαρμογών και των υπηρεσιών της Vivid Money.
Απαγορεύεται κάθε δραστηριότητα που μπορεί να βλάψει τις εφαρμογές, την υποδομή, τους πελάτες και τους συνεργάτες της εταιρείας.
Σημείωση: παραδείγματα απαγορευμένων δραστηριοτήτων: κοινωνική μηχανική, phishing, επιθέσεις άρνησης υπηρεσίας, παραβίαση
Για την επιβεβαίωση ευπαθειών χρησιμοποιείται το ελάχιστο επαρκές σύνολο ελέγχων. Οι έλεγχοι δεν πρέπει να επηρεάζουν άλλους χρήστες ή την απόδοση των εφαρμογών και των υπηρεσιών της Vivid Money
Σημείωση: αν δεν τηρείται αυτή η προϋπόθεση, η διερεύνηση ευπαθειών απαγορεύεται αυστηρά.

5.2 Σειρά προτεραιότητας αιτημάτων

Τα αιτήματα που αφορούν τις παρακάτω ευπάθειες μπορούν να εξεταστούν κατά προτεραιότητα:

Απομακρυσμένη εκτέλεση κώδικα (RCE).
Εισαγωγές κώδικα (για παράδειγμα, SQL-injections).
XXE.
LFR/LFI/RFI.
SSRF.
Διαρροές μνήμης.
Ευπάθειες επιχειρησιακής λογικής.
IDOR.
Ευπάθειες ελέγχου πρόσβασης.
Γνωστοποίηση ευαίσθητων πληροφοριών.
Κατάληψη λογαριασμού.
Έλλειψη ελέγχου ταυτότητας / εξουσιοδότησης.
XSS και CSRF με επίδραση σε ευαίσθητα δεδομένα.

5.3 Κανόνες δοκιμών RCE

Κατά τις δοκιμές RCE απαγορεύεται κάθε ενέργεια στον διακομιστή, εκτός από:

Εκτέλεση των εντολών ifconfig (ipconfig), hostname, whoami.
Δημιουργία κενού αρχείου στον κατάλογο του τρέχοντος χρήστη.

Κάθε άλλη ενέργεια πρέπει να συντονίζεται με την ομάδα ασφαλείας της Vivid Money.

5.4 Κανόνες δοκιμών SQL-injection

Κατά τις δοκιμές SQL-injection απαγορεύεται κάθε ενέργεια στον διακομιστή, εκτός από:

Λήψη πληροφοριών για την τρέχουσα βάση δεδομένων, την έκδοσή της, τον τρέχοντα χρήστη ή το hostname.
Λήψη του σχήματος της βάσης δεδομένων, της λίστας πινάκων και των ονομάτων στηλών στους πίνακες.
Εκτέλεση μαθηματικών ερωτημάτων, ερωτημάτων μετατροπής ή λογικών ερωτημάτων (και με χρήση SLEEP) χωρίς ανάκτηση δεδομένων (πέρα από όσα αναφέρονται παραπάνω).

Κάθε άλλη ενέργεια πρέπει να συντονίζεται με την ομάδα ασφαλείας της Vivid Money.

5.5 Κανόνες για μεταφόρτωση και ανάγνωση αρχείων

Κατά τις δοκιμές φόρτωσης και ανάγνωσης αρχείων απαγορεύονται οι ακόλουθες ενέργειες:

Ανάγνωση, αλλαγή, τροποποίηση, διαγραφή και αντικατάσταση οποιωνδήποτε αρχείων στον διακομιστή (και αρχείων συστήματος).
Μεταφόρτωση αρχείων που μπορούν να προκαλέσουν άρνηση υπηρεσίας (για παράδειγμα, μεγάλα αρχεία).
Μεταφόρτωση κακόβουλων αρχείων (για παράδειγμα, malware ή spyware).

6. Καθορισμός της κρισιμότητας της ευπάθειας

Το επίπεδο σοβαρότητας των ευπαθειών που εντοπίζονται καθορίζεται από την ομάδα ασφαλείας της Vivid Money.
Αφού λάβει την αναφορά των ερευνητών, η ομάδα ασφαλείας της Vivid Money κάνει τους δικούς της ελέγχους και καθορίζει το επίπεδο σοβαρότητας της ευπάθειας.
Για τον καθορισμό του επιπέδου κρισιμότητας λαμβάνονται επίσης υπόψη οι εξής παράγοντες:

Το επίπεδο δικαιωμάτων που απαιτείται για την επίθεση.
Η δυσκολία εντοπισμού και εκμετάλλευσης.
Αν απαιτείται αλληλεπίδραση με τον χρήστη.
Ο αντίκτυπος στην ακεραιότητα, τη διαθεσιμότητα και την εμπιστευτικότητα των δεδομένων που επηρεάζονται.
Ο αντίκτυπος στους επιχειρηματικούς κινδύνους και στους κινδύνους φήμης.
Ο αριθμός των χρηστών που επηρεάζονται.

7. Απαιτήσεις για την αναφορά

Κάθε αναφορά περιγράφει μία ευπάθεια. Εξαίρεση αποτελούν οι περιπτώσεις όπου οι ευπάθειες συνδέονται μεταξύ τους ή μπορούν να συνδυαστούν σε αλυσίδα.
Η αναφορά ευπάθειας πρέπει να περιέχει τις εξής πληροφορίες:

Περιγραφή της ευπάθειας (βαθμολογία, αντίκτυπος, κρισιμότητα κ.λπ.).
Διάνυσμα επίθεσης.
Βήματα αναπαραγωγής.
Ανάλυση κρισιμότητας.
Συστάσεις για την αποκατάσταση.
Τύπος ευπάθειας.
Στιγμιότυπα οθόνης ή βίντεο που επιβεβαιώνουν την ύπαρξη της ευπάθειας και δείχνουν τα βήματα αναπαραγωγής.
Παράδειγμα διαμορφωμένου ερωτήματος.

Η μη τήρηση των απαιτήσεων αναφοράς μπορεί να οδηγήσει σε μείωση του ποσού της αμοιβής.
Αν η αναφορά δεν περιέχει αρκετά δεδομένα για τον έλεγχο της ευπάθειας, δεν καταβάλλεται αμοιβή.

8. Χρόνος εξέτασης της αναφοράς

Κάθε αναφορά εξετάζεται μεμονωμένα από την ομάδα ασφαλείας της Vivid Money.
Η διάρκεια της εξέτασης εξαρτάται από τον βαθμό κρισιμότητας της ευπάθειας και τον φόρτο εργασίας της ομάδας.
Κατά μέσο όρο, κάθε αναφορά εξετάζεται μέσα σε ΔΥΟ ΕΒΔΟΜΑΔΕΣ.

9. Ανταμοιβές

Η ανταμοιβή καταβάλλεται μόνο για τον εντοπισμό ευπαθειών που δεν ήταν γνωστές.
Η καταβολή γίνεται υπό την προϋπόθεση τήρησης όλων των όρων, κανόνων και περιορισμών του παρόντος προγράμματος· σε περίπτωση παραβίασής τους, δεν καταβάλλεται αμοιβή.

10. Καταβολή της ανταμοιβής

Η ανταμοιβή καταβάλλεται μόνο για την πρώτη αναφορά που λαμβάνεται για μια ευπάθεια.
Η καταβολή γίνεται εφόσον η αναφορά περιέχει όλες τις πληροφορίες που απαιτούνται για την επιβεβαίωση της ευπάθειας.
Κάθε μεταγενέστερη αναφορά για την ίδια ευπάθεια ή με παρόμοια διανύσματα επίθεσης χαρακτηρίζεται ως διπλότυπη.
Το ποσό της ανταμοιβής είναι οριστικό και δεν υπόκειται σε διαπραγμάτευση.
Η καταβολή γίνεται υπό την προϋπόθεση ότι ο ερευνητής αποστέλλει όλες τις πληροφορίες που ζητούνται στο τιμολόγιο. Το τιμολόγιο αποστέλλεται χωριστά για συμπλήρωση.

11. Επικοινωνία

Οι πληροφορίες για τις ευπάθειες που εντοπίζονται αποστέλλονται στο [email protected].
Το θέμα του email πρέπει να ξεκινά με τη φράση [BugBountyReport]. Παράδειγμα: [BugBountyReport]: SQL injection.