1. Dwar il-Programm Bug Bounty

Il-programm Bug Bounty għandu l-għan li jsaħħaħ is-sigurtà tal-applikazzjonijiet u tas-servizzi ta' Vivid Money. Il-programm Bug Bounty huwa miftuħ għal riċerkaturi esterni li jaċċettaw it-termini u l-kundizzjonijiet ta' dan il-programm. It-talbiet kollha mingħand riċerkaturi esterni jiġu kkunsidrati każ b'każ. Il-premjijiet taħt il-programm Bug Bounty huma possibbli biss soġġetti għat-termini u l-kundizzjonijiet deskritti f'dan il-programm. Vivid Money tirriżerva d-dritt li ma twieġibx għal talbiet ta' riċerka, li tiċħad id-dritt għal remunerazzjoni, li titlob informazzjoni addizzjonali, kif ukoll li tibdel ir-regoli u l-kundizzjonijiet tal-programm.

2. Politika tal-privatezza

Kull interazzjoni fil-qafas tal-programm Bug Bounty hija possibbli biss wara l-iffirmar ta' NDA (ftehim ta' nuqqas ta' żvelar) bejn Vivid Money u r-riċerkatur. Mingħajr il-kunsens bil-miktub ta' Vivid Money, ir-riċerkaturi huma pprojbiti milli jiżvelaw vulnerabbiltajiet li jinstabu, informazzjoni dwar vulnerabbiltajiet li jinstabu, u milli jaqsmu kwalunkwe informazzjoni dwar ix-xogħol relatat mat-tiftix ta' vulnerabbiltajiet fl-applikazzjonijiet u s-servizzi ta' Vivid Money. Vivid Money tirriżerva d-dritt li tiċħad talbiet għall-iżvelar pubbliku ta' vulnerabbiltajiet li jinstabu fl-applikazzjonijiet u s-servizzi ta' Vivid Money.

3. Il-kamp ta' applikazzjoni għar-riċerkaturi

Vivid Money hija ekosistema magħmula minn diversi applikazzjonijiet u servizzi, disponibbli permezz ta' interfaċċja unifikata tal-applikazzjoni mobbli u ta' riżorsi web. Il-kamp ta' applikazzjoni għat-tiftix ta' vulnerabbiltajiet huwa:

*.vivid.money
Applikazzjoni mobbli iOS: https://apps.apple.com/de/app/id1504417378
Applikazzjoni mobbli Android: https://play.google.com/store/apps/details?id=vivid.money

Talbiet li ma jaqgħux f'dan il-kamp ta' applikazzjoni mhux se jiġu kkunsidrati.

4. Restrizzjonijiet

Il-programm Bug Bounty huwa limitat biss għal vulnerabbiltajiet tekniċi u loġiċi li jistgħu jkunu jinsabu fl-applikazzjonijiet u s-servizzi ta' Vivid Money. Il-programm Bug Bounty ma jkoprix vulnerabbiltajiet li jaqgħu f'waħda mill-kategoriji li ġejjin:

Spam.
Vulnerabbiltajiet li jeħtieġu inġinerija soċjali/phishing.
Rapporti ta' phishing u ta' tekniki oħra ta' inġinerija soċjali.
Attakki DDOS.
Kwistjonijiet ipotetiċi mingħajr ebda impatt prattiku.
Vulnerabbiltajiet tas-sigurtà f'applikazzjonijiet/libreriji ta' partijiet terzi u f'siti web ta' partijiet terzi integrati ma' Vivid Money.
Riżultati ta' scanners jew rapporti ġġenerati minn scanners.
Kwistjonijiet misjuba permezz ta' ttestjar awtomatizzat.
Bugs f'softwer tal-Internet żvelati pubblikament fi żmien 30 jum mill-iżvelar tagħhom.
Attakki Man-in-the-Middle.
Injezzjonijiet tal-host header mingħajr impatt speċifiku u li jista' jintwera.
Self-XSS mingħajr il-possibbiltà li jiġu attakkati utenti oħra.
CSRF fil-login/logout.
CSRF u XSS mingħajr impatt fuq data sensittiva.
Il-qbiż tal-kontroll għal root u jailbreak.
Messaġġi dwar il-possibbiltà ta' reverse engineering tal-applikazzjoni mobbli.
Informazzjoni dwar indirizzi IP, rekords DNS u portijiet miftuħa.
Żvelar ta' informazzjoni pubblika dwar l-utenti.
Clickjacking.
Messaġġi dwar l-iżvantaġġi tal-użu tal-kodiċijiet SMS.
Il-possibbiltà li jintbagħtu SMS u emails mingħajr limitu.
Rapporti ta' implimentazzjoni skorretta tal-arrotondament fit-trasferimenti ta' konverżjoni bejn il-kontijiet stmati, kumulattivi u tal-brokeraġġ.
Nuqqas ta' mekkaniżmi tas-sigurtà rakkomandati mingħajr vettur ta' attakk addizzjonali (pereżempju, HTTP security headers, cookie safety flags jew protezzjoni CSRF).
TLS jew SSL ikkonfigurati b'mod mhux sigur mingħajr vettur ta' attakk.
Open Redirect mingħajr vettur ta' attakk addizzjonali (pereżempju, serq tat-token tal-awtorizzazzjoni).
Sostituzzjoni tal-kontenut fuq il-paġna.
Vulnerabbiltajiet li jeħtieġu l-implimentazzjoni ta' xenarji kumplessi jew improbabbli ta' interazzjoni mal-utent.
Tabnabbing.
Full Path Disclosure.
Vulnerabbiltajiet li, biex jiġu sfruttati, jeħtieġu l-preżenza ta' softwer malizzjuż, drittijiet ta' root jew Jailbreak fuq l-apparat.
L-użu ta' softwer skadut jew potenzjalment vulnerabbli mingħajr vettur ta' attakk addizzjonali.
Żvelar ta' informazzjoni teknika jew mhux sensittiva (pereżempju, verżjonijiet tal-prodotti jew softwer użat).
Kwistjonijiet relatati mal-Cache-control.
Nuqqas ta' security flags fil-cookies.
Bugs tal-UX/UI u żbalji tal-ortografija.
Broken Link Hijacking.
Problemi bl-applikazzjoni mobbli:

5. Regoli u kundizzjonijiet

5.1 Regoli ġenerali

Meta tfittex vulnerabbiltajiet fl-applikazzjonijiet u s-servizzi ta' Vivid Money, għandhom jiġu segwiti dawn ir-regoli:

Għall-ittestjar għandhom jintużaw biss il-kontijiet tiegħek stess.
Tista' tuża l-kredenzjali ta' utenti oħra għall-ittestjar, bil-kundizzjoni li dawn ikunu qablu b'mod espliċitu li jipprovdu l-kredenzjali.
Vivid Money ma toħroġx aċċessi u kontijiet addizzjonali (inklużi kontijiet tat-test) għall-ittestjar.
Kull tentattiv biex jinkiseb aċċess għall-kredenzjali ta' utenti oħra tal-applikazzjonijiet u s-servizzi ta' Vivid Money huwa pprojbit.
Waqt it-tiftix ta' vulnerabbiltajiet, huwa pprojbit li tiġi miksura l-integrità, id-disponibbiltà u l-kunfidenzjalità tal-applikazzjonijiet u s-servizzi ta' Vivid Money.
Kull attività li tista' tagħmel ħsara lill-applikazzjonijiet, lill-infrastruttura, lill-klijenti u lis-sħab tal-kumpanija hija pprojbita. Nota: eżempji ta' attivitajiet ipprojbiti: inġinerija soċjali, phishing, attakki ta' ċaħda tas-servizz, kompromess
Biex tiġi kkonfermata l-preżenza ta' vulnerabbiltajiet, għandu jintuża l-inqas sett adegwat ta' kontrolli. Il-kontrolli m'għandhomx jaffettwaw utenti oħra jew il-prestazzjoni tal-applikazzjoni u tas-servizz ta' Vivid Money Nota: jekk din il-kundizzjoni ma tiġix sodisfatta, l-investigazzjoni tal-vulnerabbiltajiet hija strettament ipprojbita.

5.2 Ordni ta' prijorità għat-talbiet

It-talbiet relatati ma' vulnerabbiltajiet simili jistgħu jiġu kkunsidrati bi prijorità:

Eżekuzzjoni ta' kodiċi mill-bogħod (RCE).
Injezzjonijiet (pereżempju, SQL injections).
XXE.
LFR/LFI/RFI.
SSRF.
Memory leaks.
Vulnerabbiltajiet fil-loġika tan-negozju.
IDOR.
Vulnerabbiltajiet fil-kontroll tal-aċċess.
Żvelar ta' informazzjoni sensittiva.
Teħid ta' kontroll ta' kont.
Nuqqas ta' awtentikazzjoni / awtorizzazzjoni.
XSS u CSRF b'impatt fuq data sensittiva.

5.3 Regoli għall-ittestjar tal-RCE

Waqt l-ittestjar tal-RCE, kull azzjoni fuq is-server hija pprojbita ħlief:

L-eżekuzzjoni tal-kmandi ifconfig (ipconfig), hostname, whoami.
Il-ħolqien ta' fajl vojt fid-direttorju tal-utent attwali.

L-azzjonijiet l-oħra kollha għandhom jiġu kkoordinati mat-tim tas-sigurtà ta' Vivid Money.

5.4 Regoli għall-ittestjar tas-SQL injection

Waqt l-ittestjar tas-SQL injection, kull azzjoni fuq is-server hija pprojbita ħlief:

Il-ksib ta' informazzjoni dwar id-database attwali, il-verżjoni tagħha, l-utent attwali jew l-isem tal-host.
Il-ksib tal-iskema tad-database, il-lista tat-tabelli fiha u l-ismijiet tal-kolonni fit-tabelli.
L-eżekuzzjoni ta' queries matematiċi, ta' konverżjoni jew loġiċi (inkluż bl-użu ta' SLEEP) mingħajr ma tinġibed data (għajr dik elenkata hawn fuq).

L-azzjonijiet l-oħra kollha għandhom jiġu kkoordinati mat-tim tas-sigurtà ta' Vivid Money.

5.5 Regoli għat-tlugħ u l-qari tal-fajls

Waqt l-ittestjar tat-tlugħ u tal-qari tal-fajls, huwa pprojbit li jsiru l-azzjonijiet li ġejjin:

Il-qari, il-bdil, il-modifika, it-tħassir u s-sostituzzjoni ta' kwalunkwe fajl fuq is-server (inklużi l-fajls tas-sistema).
It-tlugħ ta' fajls li jistgħu jikkawżaw ċaħda tas-servizz (pereżempju, fajls kbar).
It-tlugħ ta' fajls malizzjużi (pereżempju, malware jew spyware).

6. Kif tiġi determinata l-gravità tal-vulnerabbiltà

Il-livell ta' gravità tal-vulnerabbiltajiet misjuba jiġi determinat mit-tim tas-sigurtà ta' Vivid Money. Wara li jirċievi r-rapport mingħand ir-riċerkaturi, it-tim tas-sigurtà ta' Vivid Money jagħmel il-kontrolli tiegħu u jiddetermina l-livell ta' gravità tal-vulnerabbiltà misjuba. Meta jiġi determinat il-livell ta' gravità, jitqiesu wkoll il-fatturi li ġejjin:

Il-livell ta' privileġġi meħtieġ biex isir l-attakk.
Id-diffikultà tal-identifikazzjoni u tal-isfruttament.
Il-ħtieġa ta' interazzjoni mal-utent.
L-impatt fuq l-integrità, id-disponibbiltà u l-kunfidenzjalità tad-data affettwata.
L-impatt fuq ir-riskji tan-negozju u r-riskji għar-reputazzjoni.
In-numru ta' utenti affettwati.

7. Rekwiżiti għar-rapportar

Rapport wieħed għandu jiddeskrivi vulnerabbiltà waħda. L-eċċezzjonijiet huma l-każijiet fejn il-vulnerabbiltajiet huma marbuta flimkien jew jistgħu jingħaqdu f'katina. Ir-rapport dwar il-vulnerabbiltà għandu jinkludi l-informazzjoni li ġejja:

Deskrizzjoni tal-vulnerabbiltà (punteġġ, impatt, gravità, eċċ.).
Vettur tal-attakk.
Passi biex terġa' tiġi riprodotta.
Analiżi tal-gravità.
Rakkomandazzjonijiet għat-tneħħija.
Tip ta' vulnerabbiltà.
Screenshots jew vidjo li jikkonfermaw l-eżistenza tal-vulnerabbiltà u juru l-passi tar-riproduzzjoni.
Eżempju ta' query fformattjat.

In-nuqqas ta' konformità mar-rekwiżiti tar-rapportar jista' jwassal għal tnaqqis fl-ammont tar-remunerazzjoni. Jekk ir-rapport ma jkollux biżżejjed data biex tiġi vverifikata l-vulnerabbiltà, ma jsir l-ebda ħlas ta' kumpens.

8. Żmien għall-eżami tar-rapport

Kull rapport jiġi eżaminat individwalment mit-tim tas-sigurtà ta' Vivid Money. It-tul tal-eżami tar-rapport jiddependi mill-gravità tal-vulnerabbiltà misjuba u mill-ammont ta' xogħol tat-tim. Bħala medja, kull rapport jiġi eżaminat fi żmien ĠIMAGĦTEJN.

9. Premjijiet

Il-premju jitħallas biss għall-iskoperta ta' vulnerabbiltajiet li ma kinux magħrufa qabel. Il-ħlas isir soġġett għall-kundizzjonijiet, ir-regoli u r-restrizzjonijiet kollha ta' dan il-programm; jekk dawn jinkisru, il-ħlas ma jsirx.

10. Ħlas tal-premju

Il-premju jitħallas biss għall-ewwel rapport li jasal dwar il-vulnerabbiltà misjuba. Il-ħlas isir bil-kundizzjoni li r-rapport ikun fih l-informazzjoni kollha meħtieġa biex tiġi kkonfermata l-vulnerabbiltà. Kull rapport sussegwenti li jkopri l-istess vulnerabbiltà jew li fih vetturi ta' attakk simili jiġi mmarkat bħala duplikat. L-ammont tal-premju mħallas huwa finali u mhux negozjabbli. Il-ħlas isir bil-kundizzjoni li r-riċerkatur jibgħat l-informazzjoni kollha mitluba fil-Fattura. Il-fattura tintbagħat separatament biex timtela.

11. Kuntatti

L-informazzjoni dwar il-vulnerabbiltajiet misjuba għandha tintbagħat lil bugbounty@vivid.money. Is-suġġett tal-email għandu jibda bil-frażi [BugBountyReport]. Eżempju: [BugBountyReport]: SQL injection.