Bug Bounty-verkefni

1. Um Bug Bounty-verkefnið

Markmið Bug Bounty-verkefnisins er að auka öryggi appa og þjónustu Vivid Money.
Bug Bounty-verkefnið stendur utanaðkomandi rannsakendum til boða sem samþykkja skilmála þess.
Allar beiðnir frá utanaðkomandi rannsakendum eru metnar hver fyrir sig.
Umbun samkvæmt Bug Bounty-verkefninu er aðeins möguleg samkvæmt þeim skilmálum sem lýst er í verkefninu.
Vivid Money áskilur sér rétt til að svara ekki rannsóknarbeiðnum, synja um rétt til umbunar, óska eftir viðbótarupplýsingum og breyta reglum og skilmálum verkefnisins.

2. Persónuverndarstefna

Öll samskipti innan Bug Bounty-verkefnisins eru aðeins möguleg eftir að Vivid Money og rannsakandinn hafa undirritað trúnaðarsamning (NDA).
Án skriflegs samþykkis Vivid Money er rannsakendum óheimilt að upplýsa um veikleika sem þeir finna, upplýsingar um þá veikleika eða aðrar upplýsingar um vinnu við leit að veikleikum í öppum og þjónustu Vivid Money.
Vivid Money áskilur sér rétt til að hafna beiðnum um opinbera birtingu veikleika sem finnast í öppum og þjónustu Vivid Money.

3. Umfang fyrir rannsakendur

Vivid Money er vistkerfi sem samanstendur af ýmsum öppum og þjónustu sem eru aðgengileg í gegnum sameiginlegt notendaviðmót farsímaappsins og á vefnum.
Leit að veikleikum nær til eftirfarandi:

*.vivid.money
Farsímaapp fyrir iOS: https://apps.apple.com/de/app/id1504417378
Farsímaapp fyrir Android: https://play.google.com/store/apps/details?id=vivid.money

Beiðnir sem falla utan þessa umfangs verða ekki teknar til skoðunar.

4. Takmarkanir

Bug Bounty-verkefnið takmarkast við tæknilega og rökfræðilega veikleika sem kunna að vera í öppum og þjónustu Vivid Money.
Bug Bounty-verkefnið nær ekki til veikleika sem falla undir einhvern eftirfarandi flokka:

Ruslpóstur.
Veikleikar sem krefjast félagslegrar verkfræði/vefveiða.
Tilkynningar um vefveiðar og aðrar aðferðir félagslegrar verkfræði.
DDOS-árásir.
Ímynduð vandamál sem hafa engin raunveruleg áhrif.
Öryggisveikleikar í öppum/söfnum þriðju aðila og á vefsíðum þriðju aðila sem eru tengdar Vivid Money.
Niðurstöður skanna eða skýrslur sem skannar búa til.
Vandamál sem finnast með sjálfvirkum prófunum.
Opinberlega birtar villur í hugbúnaði á netinu innan 30 daga frá birtingu þeirra.
Man-in-the-Middle-árásir.
Innskot í Host-haus án tiltekinna, sannanlegra áhrifa.
Self-XSS án möguleika á að ráðast á aðra notendur.
CSRF við innskráningu/útskráningu.
CSRF og XSS án áhrifa á viðkvæm gögn.
Sniðganga á prófun fyrir root og jailbreak.
Tilkynningar um möguleikann á bakverkfræði farsímaappsins.
Upplýsingar um IP-tölur, DNS-færslur og opin port.
Birting opinberra upplýsinga um notendur.
Clickjacking.
Tilkynningar um ókosti þess að nota SMS-kóða.
Möguleikinn á að senda ótakmarkað magn af SMS og tölvupósti.
Tilkynningar um ranga útfærslu á námundun við umreikning millifærslna milli áætlunar-, sparnaðar- og verðbréfareikninga.
Skortur á ráðlögðum öryggisbúnaði án viðbótarárásarvigurs (til dæmis HTTP-öryggishausar, öryggisflögg vafrakaka eða CSRF-vernd).
Óörugg stilling á TLS eða SSL án árásarvigurs.
Open Redirect án viðbótarárásarvigurs (til dæmis þjófnaðar á auðkenningartóka).
Efnisskipti á síðu.
Veikleikar sem krefjast flókinna eða ólíklegra atburðarása í samskiptum notenda.
Tabnabbing.
Full Path Disclosure.
Veikleikar sem krefjast þess að spilliforrit, root-réttindi eða jailbreak séu á tækinu.
Notkun úrelts eða hugsanlega veikburða hugbúnaðar án viðbótarárásarvigurs.
Birting tæknilegra eða óviðkvæmra upplýsinga (til dæmis útgáfa vara eða hugbúnaðar sem er notaður).
Vandamál tengd Cache-Control.
Skortur á öryggisflöggum í vafrakökum.
UX/UI-villur og stafsetningarvillur.
Broken Link Hijacking.
Vandamál í farsímaappinu:

5. Reglur og skilyrði

5.1 Almennar reglur

Við leit að veikleikum í öppum og þjónustu Vivid Money skal fylgja eftirfarandi reglum:

Við prófanir skal aðeins nota eigin aðganga.
Heimilt er að nota innskráningarupplýsingar annarra notenda við prófanir, að því tilskildu að þeir hafi sérstaklega samþykkt að láta þær í té.
Vivid Money gefur ekki út viðbótaraðgang eða aðganga (þar með talið prófunaraðganga) fyrir prófanir.
Allar tilraunir til að komast yfir innskráningarupplýsingar annarra notenda appa og þjónustu Vivid Money eru bannaðar.
Við leit að veikleikum er bannað að raska heilleika, tiltækileika og trúnaði appa og þjónustu Vivid Money.
Öll starfsemi sem gæti skaðað öpp, innviði, viðskiptavini og samstarfsaðila fyrirtækisins er bönnuð.
Athugið: dæmi um bannaða starfsemi: félagsleg verkfræði, vefveiðar, álagsárásir (denial of service), innbrot
Til að staðfesta veikleika skal nota lágmarksfjölda viðeigandi prófana. Prófanir mega ekki hafa áhrif á aðra notendur eða á afköst appa og þjónustu Vivid Money
Athugið: ef þetta skilyrði er ekki uppfyllt er rannsókn veikleika stranglega bönnuð.

5.2 Forgangsröðun beiðna

Beiðnir sem varða eftirfarandi veikleika geta fengið forgang:

Fjarkeyrsla kóða (RCE).
Innskot (til dæmis SQL-innskot).
XXE.
LFR/LFI/RFI.
SSRF.
Minnisleki.
Veikleikar í viðskiptarökum.
IDOR.
Veikleikar í aðgangsstýringu.
Birting viðkvæmra upplýsinga.
Yfirtaka aðgangs.
Skortur á auðkenningu / heimildastýringu.
XSS og CSRF með áhrifum á viðkvæm gögn.

5.3 Reglur um prófanir á RCE

Við prófanir á RCE eru allar aðgerðir á netþjóninum bannaðar nema:

Keyrsla skipananna ifconfig (ipconfig), hostname, whoami.
Stofnun tómrar skrár í möppu núverandi notanda.

Allar aðrar aðgerðir þarf að samræma við öryggisteymi Vivid Money.

5.4 Reglur um prófanir á SQL-innskotum

Við prófanir á SQL-innskotum eru allar aðgerðir á netþjóninum bannaðar nema:

Að sækja upplýsingar um núverandi gagnagrunn, útgáfu hans, núverandi notanda eða heiti hýsils.
Að sækja skema gagnagrunnsins, lista yfir töflur hans og heiti dálka í töflunum.
Að keyra stærðfræðilegar, umbreytingar- eða rökfræðilegar fyrirspurnir (þar á meðal með SLEEP) án þess að sækja gögn (önnur en þau sem talin eru upp hér að ofan).

Allar aðrar aðgerðir þarf að samræma við öryggisteymi Vivid Money.

5.5 Reglur um upphleðslu og lestur skráa

Við prófanir á upphleðslu og lestri skráa er bannað að framkvæma eftirfarandi aðgerðir:

Lesa, breyta, eyða eða skipta út skrám á netþjóninum (þar með talið kerfisskrám).
Hlaða upp skrám sem gætu valdið rofi á þjónustu (til dæmis stórum skrám).
Hlaða upp skaðlegum skrám (til dæmis spilliforritum eða njósnaforritum).

6. Mat á alvarleika veikleika

Öryggisteymi Vivid Money ákvarðar alvarleikastig veikleika sem finnast.
Eftir að skýrsla berst frá rannsakendum framkvæmir öryggisteymi Vivid Money eigin prófanir og ákvarðar alvarleikastig veikleikans.
Við mat á alvarleikastigi er einnig tekið tillit til eftirfarandi þátta:

Réttindastigs sem þarf til að framkvæma árásina.
Hversu erfitt er að finna og nýta veikleikann.
Hvort krafist er samskipta við notandann.
Áhrifa á heilleika, tiltækileika og trúnað gagnanna sem um ræðir.
Áhrifa á viðskiptaáhættu og orðsporsáhættu.
Fjölda notenda sem verða fyrir áhrifum.

7. Kröfur um skýrslur

Hver skýrsla skal lýsa einum veikleika. Undantekningar eru tilvik þar sem veikleikar tengjast eða hægt er að tengja þá saman í keðju.
Skýrsla um veikleika skal innihalda eftirfarandi upplýsingar:

Lýsingu á veikleikanum (mat, áhrif, alvarleiki o.s.frv.).
Árásarvigur.
Skref til að endurskapa veikleikann.
Greiningu á alvarleika.
Tillögur að úrbótum.
Tegund veikleika.
Skjámyndir eða myndband sem staðfesta veikleikann og sýna skrefin til að endurskapa hann.
Dæmi um sniðna fyrirspurn.

Ef kröfum um skýrslur er ekki fylgt getur umbunin lækkað.
Ef skýrslan inniheldur ekki nægar upplýsingar til að staðfesta veikleikann er umbun ekki greidd.

8. Afgreiðslutími skýrslu

Öryggisteymi Vivid Money fer yfir hverja skýrslu fyrir sig.
Afgreiðslutíminn fer eftir alvarleika veikleikans og álagi á teyminu.
Að meðaltali er farið yfir hverja skýrslu innan TVEGGJA VIKNA.

9. Umbun

Umbun er aðeins greidd fyrir uppgötvun áður óþekktra veikleika.
Greiðsla fer fram með fyrirvara um öll skilyrði, reglur og takmarkanir verkefnisins; ef þau eru brotin er greiðsla ekki innt af hendi.

10. Greiðsla umbunar

Umbun er aðeins greidd fyrir fyrstu skýrsluna sem berst um tiltekinn veikleika.
Greiðsla fer fram að því tilskildu að skýrslan innihaldi allar upplýsingar sem þarf til að staðfesta veikleikann.
Síðari skýrslur um sama veikleika eða með svipuðum árásarvigrum verða merktar sem tvítekningar.
Fjárhæð umbunarinnar er endanleg og ekki samningsatriði.
Greiðsla fer fram að því tilskildu að rannsakandinn sendi allar upplýsingar sem óskað er eftir í reikningnum. Reikningur til útfyllingar verður sendur sérstaklega.

11. Tengiliðir

Upplýsingar um veikleika skal senda á [email protected].
Efnislína tölvupóstsins skal hefjast á [BugBountyReport]. Dæmi: [BugBountyReport]: SQL injection.