Vivid CFO Club Limassol · 29 ta' OttubruRoundtable għas-CFOs u l-fundaturi f'The Warehouse by IT Quarter. Vivid CFO Club, 29 ta' Ottubru.Itlob post

Programm Bug Bounty

1. Dwar il-Programm Bug Bounty

Il-programm Bug Bounty għandu l-għan li jsaħħaħ is-sigurtà tal-applikazzjonijiet u tas-servizzi ta' Vivid Money.
Il-programm Bug Bounty huwa miftuħ għal riċerkaturi esterni li jaċċettaw it-termini u l-kundizzjonijiet ta' dan il-programm.
It-talbiet kollha mingħand riċerkaturi esterni jiġu kkunsidrati każ b'każ.
Il-premjijiet taħt il-programm Bug Bounty huma possibbli biss soġġetti għat-termini u l-kundizzjonijiet deskritti f'dan il-programm.
Vivid Money tirriżerva d-dritt li ma twieġibx għal talbiet ta' riċerka, li tiċħad id-dritt għal remunerazzjoni, li titlob informazzjoni addizzjonali, kif ukoll li tibdel ir-regoli u l-kundizzjonijiet tal-programm.

2. Politika tal-privatezza

Kull interazzjoni fil-qafas tal-programm Bug Bounty hija possibbli biss wara l-iffirmar ta' NDA (ftehim ta' nuqqas ta' żvelar) bejn Vivid Money u r-riċerkatur.
Mingħajr il-kunsens bil-miktub ta' Vivid Money, ir-riċerkaturi huma pprojbiti milli jiżvelaw vulnerabbiltajiet li jinstabu, informazzjoni dwar vulnerabbiltajiet li jinstabu, u milli jaqsmu kwalunkwe informazzjoni dwar ix-xogħol relatat mat-tiftix ta' vulnerabbiltajiet fl-applikazzjonijiet u s-servizzi ta' Vivid Money.
Vivid Money tirriżerva d-dritt li tiċħad talbiet għall-iżvelar pubbliku ta' vulnerabbiltajiet li jinstabu fl-applikazzjonijiet u s-servizzi ta' Vivid Money.

3. Il-kamp ta' applikazzjoni għar-riċerkaturi

Vivid Money hija ekosistema magħmula minn diversi applikazzjonijiet u servizzi, disponibbli permezz ta' interfaċċja unifikata tal-applikazzjoni mobbli u ta' riżorsi web.
Il-kamp ta' applikazzjoni għat-tiftix ta' vulnerabbiltajiet huwa:
Talbiet li ma jaqgħux f'dan il-kamp ta' applikazzjoni mhux se jiġu kkunsidrati.

4. Restrizzjonijiet

Il-programm Bug Bounty huwa limitat biss għal vulnerabbiltajiet tekniċi u loġiċi li jistgħu jkunu jinsabu fl-applikazzjonijiet u s-servizzi ta' Vivid Money.
Il-programm Bug Bounty ma jkoprix vulnerabbiltajiet li jaqgħu f'waħda mill-kategoriji li ġejjin:
  • Spam.
  • Vulnerabbiltajiet li jeħtieġu inġinerija soċjali/phishing.
  • Rapporti ta' phishing u ta' tekniki oħra ta' inġinerija soċjali.
  • Attakki DDOS.
  • Kwistjonijiet ipotetiċi mingħajr ebda impatt prattiku.
  • Vulnerabbiltajiet tas-sigurtà f'applikazzjonijiet/libreriji ta' partijiet terzi u f'siti web ta' partijiet terzi integrati ma' Vivid Money.
  • Riżultati ta' scanners jew rapporti ġġenerati minn scanners.
  • Kwistjonijiet misjuba permezz ta' ttestjar awtomatizzat.
  • Bugs f'softwer tal-Internet żvelati pubblikament fi żmien 30 jum mill-iżvelar tagħhom.
  • Attakki Man-in-the-Middle.
  • Injezzjonijiet tal-host header mingħajr impatt speċifiku u li jista' jintwera.
  • Self-XSS mingħajr il-possibbiltà li jiġu attakkati utenti oħra.
  • CSRF fil-login/logout.
  • CSRF u XSS mingħajr impatt fuq data sensittiva.
  • Il-qbiż tal-kontroll għal root u jailbreak.
  • Messaġġi dwar il-possibbiltà ta' reverse engineering tal-applikazzjoni mobbli.
  • Informazzjoni dwar indirizzi IP, rekords DNS u portijiet miftuħa.
  • Żvelar ta' informazzjoni pubblika dwar l-utenti.
  • Clickjacking.
  • Messaġġi dwar l-iżvantaġġi tal-użu tal-kodiċijiet SMS.
  • Il-possibbiltà li jintbagħtu SMS u emails mingħajr limitu.
  • Rapporti ta' implimentazzjoni skorretta tal-arrotondament fit-trasferimenti ta' konverżjoni bejn il-kontijiet stmati, kumulattivi u tal-brokeraġġ.
  • Nuqqas ta' mekkaniżmi tas-sigurtà rakkomandati mingħajr vettur ta' attakk addizzjonali (pereżempju, HTTP security headers, cookie safety flags jew protezzjoni CSRF).
  • TLS jew SSL ikkonfigurati b'mod mhux sigur mingħajr vettur ta' attakk.
  • Open Redirect mingħajr vettur ta' attakk addizzjonali (pereżempju, serq tat-token tal-awtorizzazzjoni).
  • Sostituzzjoni tal-kontenut fuq il-paġna.
  • Vulnerabbiltajiet li jeħtieġu l-implimentazzjoni ta' xenarji kumplessi jew improbabbli ta' interazzjoni mal-utent.
  • Tabnabbing.
  • Full Path Disclosure.
  • Vulnerabbiltajiet li, biex jiġu sfruttati, jeħtieġu l-preżenza ta' softwer malizzjuż, drittijiet ta' root jew Jailbreak fuq l-apparat.
  • L-użu ta' softwer skadut jew potenzjalment vulnerabbli mingħajr vettur ta' attakk addizzjonali.
  • Żvelar ta' informazzjoni teknika jew mhux sensittiva (pereżempju, verżjonijiet tal-prodotti jew softwer użat).
  • Kwistjonijiet relatati mal-Cache-control.
  • Nuqqas ta' security flags fil-cookies.
  • Bugs tal-UX/UI u żbalji tal-ortografija.
  • Broken Link Hijacking.
  • Problemi bl-applikazzjoni mobbli:
    • o Ma jiġix ikkreditat cashback għax-xirja.
    o Il-funzjonijiet tal-applikazzjoni mhumiex disponibbli.
    o L-applikazzjoni mobbli tieqaf taħdem.

5. Regoli u kundizzjonijiet

5.1 Regoli ġenerali

Meta tfittex vulnerabbiltajiet fl-applikazzjonijiet u s-servizzi ta' Vivid Money, għandhom jiġu segwiti dawn ir-regoli:
  • Għall-ittestjar għandhom jintużaw biss il-kontijiet tiegħek stess.
  • Tista' tuża l-kredenzjali ta' utenti oħra għall-ittestjar, bil-kundizzjoni li dawn ikunu qablu b'mod espliċitu li jipprovdu l-kredenzjali.
  • Vivid Money ma toħroġx aċċessi u kontijiet addizzjonali (inklużi kontijiet tat-test) għall-ittestjar.
  • Kull tentattiv biex jinkiseb aċċess għall-kredenzjali ta' utenti oħra tal-applikazzjonijiet u s-servizzi ta' Vivid Money huwa pprojbit.
  • Waqt it-tiftix ta' vulnerabbiltajiet, huwa pprojbit li tiġi miksura l-integrità, id-disponibbiltà u l-kunfidenzjalità tal-applikazzjonijiet u s-servizzi ta' Vivid Money.
  • Kull attività li tista' tagħmel ħsara lill-applikazzjonijiet, lill-infrastruttura, lill-klijenti u lis-sħab tal-kumpanija hija pprojbita.
    Nota: eżempji ta' attivitajiet ipprojbiti: inġinerija soċjali, phishing, attakki ta' ċaħda tas-servizz, kompromess
  • Biex tiġi kkonfermata l-preżenza ta' vulnerabbiltajiet, għandu jintuża l-inqas sett adegwat ta' kontrolli. Il-kontrolli m'għandhomx jaffettwaw utenti oħra jew il-prestazzjoni tal-applikazzjoni u tas-servizz ta' Vivid Money
    Nota: jekk din il-kundizzjoni ma tiġix sodisfatta, l-investigazzjoni tal-vulnerabbiltajiet hija strettament ipprojbita.

5.2 Ordni ta' prijorità għat-talbiet

It-talbiet relatati ma' vulnerabbiltajiet simili jistgħu jiġu kkunsidrati bi prijorità:
  • Eżekuzzjoni ta' kodiċi mill-bogħod (RCE).
  • Injezzjonijiet (pereżempju, SQL injections).
  • XXE.
  • LFR/LFI/RFI.
  • SSRF.
  • Memory leaks.
  • Vulnerabbiltajiet fil-loġika tan-negozju.
  • IDOR.
  • Vulnerabbiltajiet fil-kontroll tal-aċċess.
  • Żvelar ta' informazzjoni sensittiva.
  • Teħid ta' kontroll ta' kont.
  • Nuqqas ta' awtentikazzjoni / awtorizzazzjoni.
  • XSS u CSRF b'impatt fuq data sensittiva.

5.3 Regoli għall-ittestjar tal-RCE

Waqt l-ittestjar tal-RCE, kull azzjoni fuq is-server hija pprojbita ħlief:
  • L-eżekuzzjoni tal-kmandi ifconfig (ipconfig), hostname, whoami.
  • Il-ħolqien ta' fajl vojt fid-direttorju tal-utent attwali.
L-azzjonijiet l-oħra kollha għandhom jiġu kkoordinati mat-tim tas-sigurtà ta' Vivid Money.

5.4 Regoli għall-ittestjar tas-SQL injection

Waqt l-ittestjar tas-SQL injection, kull azzjoni fuq is-server hija pprojbita ħlief:
  • Il-ksib ta' informazzjoni dwar id-database attwali, il-verżjoni tagħha, l-utent attwali jew l-isem tal-host.
  • Il-ksib tal-iskema tad-database, il-lista tat-tabelli fiha u l-ismijiet tal-kolonni fit-tabelli.
  • L-eżekuzzjoni ta' queries matematiċi, ta' konverżjoni jew loġiċi (inkluż bl-użu ta' SLEEP) mingħajr ma tinġibed data (għajr dik elenkata hawn fuq).
L-azzjonijiet l-oħra kollha għandhom jiġu kkoordinati mat-tim tas-sigurtà ta' Vivid Money.

5.5 Regoli għat-tlugħ u l-qari tal-fajls

Waqt l-ittestjar tat-tlugħ u tal-qari tal-fajls, huwa pprojbit li jsiru l-azzjonijiet li ġejjin:
  • Il-qari, il-bdil, il-modifika, it-tħassir u s-sostituzzjoni ta' kwalunkwe fajl fuq is-server (inklużi l-fajls tas-sistema).
  • It-tlugħ ta' fajls li jistgħu jikkawżaw ċaħda tas-servizz (pereżempju, fajls kbar).
  • It-tlugħ ta' fajls malizzjużi (pereżempju, malware jew spyware).

6. Kif tiġi determinata l-gravità tal-vulnerabbiltà

Il-livell ta' gravità tal-vulnerabbiltajiet misjuba jiġi determinat mit-tim tas-sigurtà ta' Vivid Money.
Wara li jirċievi r-rapport mingħand ir-riċerkaturi, it-tim tas-sigurtà ta' Vivid Money jagħmel il-kontrolli tiegħu u jiddetermina l-livell ta' gravità tal-vulnerabbiltà misjuba.
Meta jiġi determinat il-livell ta' gravità, jitqiesu wkoll il-fatturi li ġejjin:
  • Il-livell ta' privileġġi meħtieġ biex isir l-attakk.
  • Id-diffikultà tal-identifikazzjoni u tal-isfruttament.
  • Il-ħtieġa ta' interazzjoni mal-utent.
  • L-impatt fuq l-integrità, id-disponibbiltà u l-kunfidenzjalità tad-data affettwata.
  • L-impatt fuq ir-riskji tan-negozju u r-riskji għar-reputazzjoni.
  • In-numru ta' utenti affettwati.

7. Rekwiżiti għar-rapportar

Rapport wieħed għandu jiddeskrivi vulnerabbiltà waħda. L-eċċezzjonijiet huma l-każijiet fejn il-vulnerabbiltajiet huma marbuta flimkien jew jistgħu jingħaqdu f'katina.
Ir-rapport dwar il-vulnerabbiltà għandu jinkludi l-informazzjoni li ġejja:
  • Deskrizzjoni tal-vulnerabbiltà (punteġġ, impatt, gravità, eċċ.).
  • Vettur tal-attakk.
  • Passi biex terġa' tiġi riprodotta.
  • Analiżi tal-gravità.
  • Rakkomandazzjonijiet għat-tneħħija.
  • Tip ta' vulnerabbiltà.
  • Screenshots jew vidjo li jikkonfermaw l-eżistenza tal-vulnerabbiltà u juru l-passi tar-riproduzzjoni.
  • Eżempju ta' query fformattjat.
In-nuqqas ta' konformità mar-rekwiżiti tar-rapportar jista' jwassal għal tnaqqis fl-ammont tar-remunerazzjoni.
Jekk ir-rapport ma jkollux biżżejjed data biex tiġi vverifikata l-vulnerabbiltà, ma jsir l-ebda ħlas ta' kumpens.

8. Żmien għall-eżami tar-rapport

Kull rapport jiġi eżaminat individwalment mit-tim tas-sigurtà ta' Vivid Money.
It-tul tal-eżami tar-rapport jiddependi mill-gravità tal-vulnerabbiltà misjuba u mill-ammont ta' xogħol tat-tim.
Bħala medja, kull rapport jiġi eżaminat fi żmien ĠIMAGĦTEJN.

9. Premjijiet

Il-premju jitħallas biss għall-iskoperta ta' vulnerabbiltajiet li ma kinux magħrufa qabel.
Il-ħlas isir soġġett għall-kundizzjonijiet, ir-regoli u r-restrizzjonijiet kollha ta' dan il-programm; jekk dawn jinkisru, il-ħlas ma jsirx.

10. Ħlas tal-premju

Il-premju jitħallas biss għall-ewwel rapport li jasal dwar il-vulnerabbiltà misjuba.
Il-ħlas isir bil-kundizzjoni li r-rapport ikun fih l-informazzjoni kollha meħtieġa biex tiġi kkonfermata l-vulnerabbiltà.
Kull rapport sussegwenti li jkopri l-istess vulnerabbiltà jew li fih vetturi ta' attakk simili jiġi mmarkat bħala duplikat.
L-ammont tal-premju mħallas huwa finali u mhux negozjabbli.
Il-ħlas isir bil-kundizzjoni li r-riċerkatur jibgħat l-informazzjoni kollha mitluba fil-Fattura. Il-fattura tintbagħat separatament biex timtela.

11. Kuntatti

L-informazzjoni dwar il-vulnerabbiltajiet misjuba għandha tintbagħat lil [email protected].
Is-suġġett tal-email għandu jibda bil-frażi [BugBountyReport]. Eżempju: [BugBountyReport]: SQL injection.