1. Tietoa bug bounty -ohjelmasta

Bug bounty -ohjelman tavoitteena on parantaa Vivid Moneyn sovellusten ja palvelujen tietoturvaa. Bug bounty -ohjelma on avoin ulkopuolisille tutkijoille, jotka hyväksyvät tämän ohjelman ehdot. Kaikki ulkopuolisten tutkijoiden pyynnöt käsitellään tapauskohtaisesti. Bug bounty -ohjelman palkkiot ovat mahdollisia vain tässä ohjelmassa kuvattujen ehtojen mukaisesti. Vivid Money pidättää oikeuden jättää vastaamatta tutkimuspyyntöihin, evätä palkkion, pyytää lisätietoja sekä muuttaa ohjelman sääntöjä ja ehtoja.

2. Tietosuojakäytäntö

Kaikki bug bounty -ohjelman puitteissa tapahtuva yhteistyö on mahdollista vasta, kun Vivid Money ja tutkija ovat allekirjoittaneet salassapitosopimuksen (NDA). Ilman Vivid Moneyn kirjallista suostumusta tutkijat eivät saa paljastaa löydettyjä haavoittuvuuksia tai niitä koskevia tietoja eivätkä jakaa mitään tietoja Vivid Moneyn sovellusten ja palvelujen haavoittuvuuksien etsimiseen liittyvästä työstä. Vivid Money pidättää oikeuden hylätä pyynnöt Vivid Moneyn sovelluksista ja palveluista löydettyjen haavoittuvuuksien julkistamisesta.

3. Tutkimuksen kohteet

Vivid Money on ekosysteemi, joka koostuu useista sovelluksista ja palveluista. Niitä käytetään yhtenäisen mobiilisovelluksen käyttöliittymän ja verkkopalvelujen kautta. Haavoittuvuuksia voi etsiä seuraavista kohteista:

*.vivid.money
iOS-mobiilisovellus: https://apps.apple.com/de/app/id1504417378
Android-mobiilisovellus: https://play.google.com/store/apps/details?id=vivid.money

Näiden kohteiden ulkopuolisia pyyntöjä ei käsitellä.

4. Rajoitukset

Bug bounty -ohjelma koskee vain teknisiä ja loogisia haavoittuvuuksia, joita Vivid Moneyn sovelluksissa ja palveluissa voi olla. Bug bounty -ohjelma ei kata haavoittuvuuksia, jotka kuuluvat johonkin seuraavista luokista:

Roskaposti.
Haavoittuvuudet, jotka edellyttävät manipulointia tai tietojenkalastelua.
Ilmoitukset tietojenkalastelusta ja muista manipulointitekniikoista.
DDoS-hyökkäykset.
Teoreettiset ongelmat, joilla ei ole käytännön vaikutusta.
Kolmansien osapuolten sovellusten tai kirjastojen sekä Vivid Moneyyn integroitujen kolmansien osapuolten verkkosivujen tietoturvahaavoittuvuudet.
Skannerien tulosteet tai skannerien tuottamat raportit.
Automaattisella testauksella löydetyt ongelmat.
Internet-ohjelmistojen julkisesti ilmoitetut virheet 30 päivän kuluessa niiden julkistamisesta.
Man-in-the-Middle-hyökkäykset.
Host-otsakkeen injektiot ilman konkreettista, osoitettavaa vaikutusta.
Self-XSS ilman mahdollisuutta hyökätä muita käyttäjiä vastaan.
Kirjautumisen tai uloskirjautumisen CSRF.
CSRF ja XSS, jotka eivät vaikuta arkaluonteisiin tietoihin.
Root- ja jailbreak-tarkistuksen ohittaminen.
Ilmoitukset mobiilisovelluksen takaisinmallinnuksen mahdollisuudesta.
Tiedot IP-osoitteista, DNS-tietueista ja avoimista porteista.
Käyttäjiä koskevien julkisten tietojen paljastuminen.
Clickjacking.
Ilmoitukset tekstiviestikoodien käytön heikkouksista.
Mahdollisuus lähettää tekstiviestejä ja sähköposteja rajattomasti.
Ilmoitukset pyöristyksen virheellisestä toteutuksesta arvioitujen, kumulatiivisten ja välitystilien välisissä muuntosiirroissa.
Suositeltujen tietoturvamekanismien puuttuminen ilman lisähyökkäysvektoria (esimerkiksi HTTP-tietoturvaotsakkeet, evästeiden suojausliput tai CSRF-suojaus).
Turvattomasti määritetty TLS tai SSL ilman hyökkäysvektoria.
Open Redirect ilman lisähyökkäysvektoria (esimerkiksi valtuutustunnuksen varastaminen).
Sisällön korvaaminen sivulla.
Haavoittuvuudet, jotka edellyttävät monimutkaisia tai epätodennäköisiä käyttäjän toimintaskenaarioita.
Tabnabbing.
Full Path Disclosure.
Haavoittuvuudet, joiden hyödyntäminen edellyttää haittaohjelmaa, root-oikeuksia tai jailbreakia laitteessa.
Vanhentuneiden tai mahdollisesti haavoittuvien ohjelmistojen käyttö ilman lisähyökkäysvektoria.
Teknisten tai ei-arkaluonteisten tietojen paljastuminen (esimerkiksi tuoteversiot tai käytetyt ohjelmistot).
Välimuistin hallintaan (cache-control) liittyvät ongelmat.
Evästeiden suojauslippujen puuttuminen.
Käyttöliittymä- ja käyttökokemusvirheet sekä kirjoitusvirheet.
Broken Link Hijacking.
Mobiilisovelluksen ongelmat:

5. Säännöt ja ehdot

5.1 Yleiset säännöt

Kun etsit haavoittuvuuksia Vivid Moneyn sovelluksista ja palveluista, noudata seuraavia sääntöjä:

Käytä testaukseen vain omia tilejäsi.
Voit käyttää testaukseen muiden käyttäjien tunnuksia, jos he ovat nimenomaisesti suostuneet antamaan ne.
Vivid Money ei myönnä testausta varten lisäkäyttöoikeuksia tai tilejä (testitilit mukaan lukien).
Kaikki yritykset päästä käsiksi Vivid Moneyn sovellusten ja palvelujen muiden käyttäjien tunnuksiin ovat kiellettyjä.
Haavoittuvuuksia etsittäessä on kiellettyä vaarantaa Vivid Moneyn sovellusten ja palvelujen eheyttä, saatavuutta ja luottamuksellisuutta.
Kaikki toiminta, joka voi vahingoittaa yhtiön sovelluksia, infrastruktuuria, asiakkaita ja kumppaneita, on kiellettyä. Huomaa: esimerkkejä kielletystä toiminnasta: manipulointi, tietojenkalastelu, palvelunestohyökkäykset, tietomurrot
Haavoittuvuuden olemassaolo on vahvistettava mahdollisimman suppealla riittävällä tarkistuksella. Tarkistukset eivät saa vaikuttaa muihin käyttäjiin eivätkä Vivid Moneyn sovellusten ja palvelun toimintaan. Huomaa: jos tämä ehto ei täyty, haavoittuvuuksien tutkiminen on ehdottomasti kiellettyä.

5.2 Pyyntöjen käsittelyjärjestys

Seuraaviin haavoittuvuuksiin liittyvät pyynnöt voidaan käsitellä ensisijaisesti:

Etäkoodin suorittaminen (RCE).
Injektiot (esimerkiksi SQL-injektiot).
XXE.
LFR/LFI/RFI.
SSRF.
Muistivuodot.
Liiketoimintalogiikan haavoittuvuudet.
IDOR.
Pääsynhallinnan haavoittuvuudet.
Arkaluonteisten tietojen paljastuminen.
Tilin kaappaus.
Puuttuva tunnistautuminen tai valtuutus.
XSS ja CSRF, jotka vaikuttavat arkaluonteisiin tietoihin.

5.3 RCE-testauksen säännöt

RCE-testauksen aikana kaikki toimenpiteet palvelimella ovat kiellettyjä lukuun ottamatta seuraavia:

Komentojen ifconfig (ipconfig), hostname ja whoami suorittaminen.
Tyhjän tiedoston luominen nykyisen käyttäjän hakemistoon.

Kaikista muista toimenpiteistä on sovittava Vivid Moneyn tietoturvatiimin kanssa.

5.4 SQL-injektioiden testauksen säännöt

SQL-injektioiden testauksen aikana kaikki toimenpiteet palvelimella ovat kiellettyjä lukuun ottamatta seuraavia:

Tietojen hakeminen nykyisestä tietokannasta, sen versiosta, nykyisestä käyttäjästä tai isäntänimestä.
Tietokannan skeeman, sen taulujen luettelon ja taulujen sarakkeiden nimien hakeminen.
Matemaattisten, muunnos- tai loogisten kyselyjen suorittaminen (myös SLEEP-komennolla) ilman tietojen hakemista (muiden kuin edellä lueteltujen).

Kaikista muista toimenpiteistä on sovittava Vivid Moneyn tietoturvatiimin kanssa.

5.5 Tiedostojen lataamista ja lukemista koskevat säännöt

Tiedostojen lataamisen ja lukemisen testauksessa seuraavat toimenpiteet ovat kiellettyjä:

Minkä tahansa palvelimella olevan tiedoston (myös järjestelmätiedostojen) lukeminen, muuttaminen, muokkaaminen, poistaminen tai korvaaminen.
Sellaisten tiedostojen lataaminen, jotka voivat aiheuttaa palvelunestotilan (esimerkiksi suuret tiedostot).
Haitallisten tiedostojen lataaminen (esimerkiksi haittaohjelmat tai vakoiluohjelmat).

6. Haavoittuvuuden vakavuuden määrittäminen

Löydettyjen haavoittuvuuksien vakavuustason määrittää Vivid Moneyn tietoturvatiimi. Saatuaan tutkijoiden raportin Vivid Moneyn tietoturvatiimi tekee omat tarkistuksensa ja määrittää löydetyn haavoittuvuuden vakavuustason. Vakavuustasoa määritettäessä otetaan huomioon myös seuraavat tekijät:

Hyökkäyksen toteuttamiseen tarvittava käyttöoikeustaso.
Havaitsemisen ja hyödyntämisen vaikeus.
Edellyttääkö hyökkäys vuorovaikutusta käyttäjän kanssa.
Vaikutus kohteena olevien tietojen eheyteen, saatavuuteen ja luottamuksellisuuteen.
Vaikutus liiketoimintariskeihin ja maineriskeihin.
Niiden käyttäjien määrä, joihin haavoittuvuus vaikuttaa.

7. Raportointia koskevat vaatimukset

Yhdessä raportissa kuvataan yksi haavoittuvuus. Poikkeuksena ovat tapaukset, joissa haavoittuvuudet liittyvät toisiinsa tai ne voidaan yhdistää ketjuksi. Haavoittuvuusraportissa on oltava seuraavat tiedot:

Haavoittuvuuden kuvaus (pisteytys, vaikutus, vakavuus jne.).
Hyökkäysvektori.
Toistamisen vaiheet.
Vakavuuden analyysi.
Korjaussuositukset.
Haavoittuvuuden tyyppi.
Kuvakaappaukset tai video, jotka vahvistavat haavoittuvuuden olemassaolon ja näyttävät toistamisen vaiheet.
Esimerkki muotoillusta kyselystä.

Raportointivaatimusten laiminlyönti voi pienentää palkkion määrää. Jos raportin tiedot eivät riitä haavoittuvuuden tarkistamiseen, palkkiota ei makseta.

8. Raportin käsittelyaika

Vivid Moneyn tietoturvatiimi käsittelee jokaisen raportin erikseen. Käsittelyn kesto riippuu löydetyn haavoittuvuuden vakavuudesta ja tiimin työkuormasta. Keskimäärin raportti käsitellään KAHDEN VIIKON kuluessa.

9. Palkkiot

Palkkio maksetaan vain aiemmin tuntemattomien haavoittuvuuksien löytämisestä. Palkkio maksetaan edellyttäen, että kaikkia tämän ohjelman ehtoja, sääntöjä ja rajoituksia on noudatettu. Jos niitä rikotaan, palkkiota ei makseta.

10. Palkkion maksaminen

Palkkio maksetaan vain ensimmäisestä vastaanotetusta raportista, joka koskee löydettyä haavoittuvuutta. Palkkio maksetaan edellyttäen, että raportissa on kaikki haavoittuvuuden vahvistamiseen tarvittavat tiedot. Kaikki myöhemmät raportit, jotka koskevat samaa haavoittuvuutta tai sisältävät samankaltaisia hyökkäysvektoreita, merkitään kaksoiskappaleiksi. Maksettavan palkkion määrä on lopullinen, eikä siitä neuvotella. Palkkio maksetaan sillä ehdolla, että tutkija toimittaa kaikki laskulla pyydetyt tiedot. Lasku lähetetään täytettäväksi erikseen.

11. Yhteystiedot

Tiedot löydetyistä haavoittuvuuksista lähetetään osoitteeseen bugbounty@vivid.money. Sähköpostin aiherivin on alettava tunnisteella [BugBountyReport]. Esimerkki: [BugBountyReport]: SQL-injektio.