1. Despre programul Bug Bounty

Programul Bug Bounty are ca scop creșterea securității aplicațiilor și serviciilor Vivid Money. Programul Bug Bounty se adresează cercetătorilor externi care acceptă termenii și condițiile acestuia. Toate solicitările cercetătorilor externi sunt analizate individual. Recompensele în cadrul programului Bug Bounty se acordă numai în condițiile descrise în acest program. Vivid Money își rezervă dreptul de a nu răspunde solicitărilor de cercetare, de a refuza dreptul la remunerație, de a solicita informații suplimentare, precum și de a modifica regulile și condițiile programului.

2. Politica de confidențialitate

Orice interacțiune în cadrul programului Bug Bounty este posibilă numai după semnarea unui NDA (acord de confidențialitate) între Vivid Money și cercetător. Fără acordul scris al Vivid Money, cercetătorilor le este interzis să divulge vulnerabilitățile descoperite, informații despre vulnerabilitățile descoperite, precum și orice informații despre activitatea de căutare a vulnerabilităților în aplicațiile și serviciile Vivid Money. Vivid Money își rezervă dreptul de a respinge cererile de divulgare publică a vulnerabilităților descoperite în aplicațiile și serviciile Vivid Money.

3. Domeniul de aplicare pentru cercetători

Vivid Money este un ecosistem format din diverse aplicații și servicii, disponibile printr-o interfață unificată a aplicației mobile și prin resurse web. Domeniul în care se caută vulnerabilități cuprinde:

*.vivid.money
Aplicația mobilă iOS: https://apps.apple.com/de/app/id1504417378
Aplicația mobilă Android: https://play.google.com/store/apps/details?id=vivid.money

Solicitările care nu intră în acest domeniu nu vor fi analizate.

4. Restricții

Programul Bug Bounty se limitează la vulnerabilitățile tehnice și logice care pot exista în aplicațiile și serviciile Vivid Money. Programul Bug Bounty nu acoperă vulnerabilitățile care se încadrează într-una dintre următoarele categorii:

Spam.
Vulnerabilități care necesită inginerie socială/phishing.
Raportări de phishing și alte tehnici de inginerie socială.
Atacuri DDOS.
Probleme ipotetice fără impact practic.
Vulnerabilități de securitate în aplicații/biblioteci terțe și pe site-uri terțe integrate cu Vivid Money.
Rezultate ale scanerelor sau rapoarte generate de scanere.
Probleme găsite prin testare automată.
Erori făcute publice în software de internet, în termen de 30 de zile de la divulgarea lor.
Atacuri Man-in-the-Middle.
Injectări în antetul Host fără un impact concret, demonstrabil.
Self-XSS fără posibilitatea de a ataca alți utilizatori.
CSRF la autentificare/deconectare.
CSRF și XSS fără impact asupra datelor sensibile.
Ocolirea verificării de root și jailbreak.
Raportări despre posibilitatea de inginerie inversă a aplicației mobile.
Informații despre adrese IP, înregistrări DNS și porturi deschise.
Divulgarea informațiilor publice despre utilizatori.
Clickjacking.
Raportări despre dezavantajele folosirii codurilor SMS.
Posibilitatea de a trimite nelimitat SMS-uri și e-mailuri.
Raportări privind implementarea incorectă a rotunjirii la conversia transferurilor între conturile de decontare, de economii și de brokeraj.
Lipsa mecanismelor de securitate recomandate fără un vector de atac suplimentar (de exemplu, antete de securitate HTTP, flaguri de securitate pentru cookie-uri sau protecție CSRF).
TLS sau SSL configurat nesigur, fără un vector de atac.
Open Redirect fără un vector de atac suplimentar (de exemplu, furtul tokenului de autorizare).
Înlocuirea conținutului pe pagină.
Vulnerabilități care necesită scenarii complexe sau improbabile de interacțiune cu utilizatorul.
Tabnabbing.
Full Path Disclosure.
Vulnerabilități a căror exploatare necesită prezența unui software rău intenționat, a drepturilor de root sau a jailbreakului pe dispozitiv.
Folosirea de software învechit sau potențial vulnerabil fără un vector de atac suplimentar.
Divulgarea de informații tehnice sau nesensibile (de exemplu, versiunile produselor sau software-ul folosit).
Probleme legate de Cache-Control.
Lipsa flagurilor de securitate în cookie-uri.
Erori de UX/UI și greșeli de ortografie.
Broken Link Hijacking.
Probleme cu aplicația mobilă:

5. Reguli și condiții

5.1 Reguli generale

Când cauți vulnerabilități în aplicațiile și serviciile Vivid Money, trebuie să respecți următoarele reguli:

Pentru testare folosește numai conturile tale.
Poți folosi pentru testare datele de autentificare ale altor utilizatori, cu condiția ca aceștia să fi acceptat explicit să le furnizeze.
Vivid Money nu emite accesuri și conturi suplimentare (inclusiv conturi de test) pentru testare.
Orice încercare de a accesa datele de autentificare ale altor utilizatori ai aplicațiilor și serviciilor Vivid Money este interzisă.
Când cauți vulnerabilități, este interzisă încălcarea integrității, disponibilității și confidențialității aplicațiilor și serviciilor Vivid Money.
Este interzisă orice activitate care ar putea afecta aplicațiile, infrastructura, clienții și partenerii companiei. Notă: exemple de activități interzise: inginerie socială, phishing, atacuri de tip refuz al serviciului, compromitere
Pentru confirmarea vulnerabilităților trebuie folosit un set minim adecvat de verificări. Verificările nu trebuie să afecteze alți utilizatori sau performanța aplicațiilor și serviciilor Vivid Money Notă: dacă această condiție nu este respectată, cercetarea vulnerabilităților este strict interzisă.

5.2 Ordinea de prioritate a solicitărilor

Solicitările privind următoarele vulnerabilități pot fi analizate cu prioritate:

Executarea de cod la distanță (RCE).
Injectări (de exemplu, SQL injection).
XXE.
LFR/LFI/RFI.
SSRF.
Scurgeri de memorie.
Vulnerabilități de logică de business.
IDOR.
Vulnerabilități de control al accesului.
Divulgarea informațiilor sensibile.
Preluarea contului.
Lipsa autentificării / autorizării.
XSS și CSRF cu impact asupra datelor sensibile.

5.3 Reguli pentru testarea RCE

În timpul testării RCE, orice acțiune pe server este interzisă, cu excepția:

Executării comenzilor ifconfig (ipconfig), hostname, whoami.
Creării unui fișier gol în directorul utilizatorului curent.

Toate celelalte acțiuni trebuie coordonate cu echipa de securitate Vivid Money.

5.4 Reguli pentru testarea SQL injection

În timpul testării SQL injection, orice acțiune pe server este interzisă, cu excepția:

Obținerii de informații despre baza de date curentă, versiunea ei, utilizatorul curent sau numele hostului.
Obținerii schemei bazei de date, a listei de tabele și a numelor coloanelor din tabele.
Executării de interogări matematice, de conversie sau logice (inclusiv cu SLEEP) fără extragerea de date (altele decât cele enumerate mai sus).

Toate celelalte acțiuni trebuie coordonate cu echipa de securitate Vivid Money.

5.5 Reguli pentru încărcarea și citirea fișierelor

În timpul testării încărcării și citirii fișierelor este interzisă efectuarea următoarelor acțiuni:

Citirea, schimbarea, modificarea, ștergerea și înlocuirea oricăror fișiere de pe server (inclusiv fișierele de sistem).
Încărcarea de fișiere care ar putea cauza un refuz al serviciului (de exemplu, fișiere mari).
Încărcarea de fișiere rău intenționate (de exemplu, malware sau spyware).

6. Stabilirea gradului de criticitate a vulnerabilității

Nivelul de severitate al vulnerabilităților descoperite este stabilit de echipa de securitate Vivid Money. După primirea raportului de la cercetători, echipa de securitate Vivid Money face propriile verificări și stabilește nivelul de severitate al vulnerabilității descoperite. La stabilirea nivelului de criticitate se iau în calcul și următorii factori:

Nivelul de privilegii necesar pentru realizarea atacului.
Dificultatea de detectare și de exploatare.
Necesitatea interacțiunii cu utilizatorul.
Impactul asupra integrității, disponibilității și confidențialității datelor afectate.
Impactul asupra riscurilor de business și a riscurilor reputaționale.
Numărul de utilizatori afectați.

7. Cerințe privind raportarea

Un raport trebuie să descrie o singură vulnerabilitate. Excepție fac cazurile în care vulnerabilitățile sunt legate între ele sau pot fi combinate într-un lanț. Raportul de vulnerabilitate trebuie să conțină următoarele informații:

Descrierea vulnerabilității (scor, impact, criticitate etc.).
Vectorul de atac.
Pașii de reproducere.
Analiza criticității.
Recomandări pentru remediere.
Tipul vulnerabilității.
Capturi de ecran sau video care confirmă existența vulnerabilității și arată pașii de reproducere.
Un exemplu de interogare formatată.

Nerespectarea cerințelor de raportare poate duce la reducerea valorii remunerației. Dacă raportul nu conține suficiente date pentru verificarea vulnerabilității, remunerația nu se plătește.

8. Termenul de analiză a raportului

Fiecare raport este analizat individual de echipa de securitate Vivid Money. Durata analizei depinde de gradul de criticitate al vulnerabilității descoperite și de volumul de lucru al echipei. În medie, fiecare raport este analizat în DOUĂ SĂPTĂMÂNI.

9. Recompense

Recompensa se plătește numai pentru descoperirea unor vulnerabilități necunoscute anterior. Plata se face cu respectarea tuturor condițiilor, regulilor și restricțiilor acestui program; în cazul încălcării lor, plata nu se efectuează.

10. Plata recompensei

Recompensa se plătește numai pentru primul raport primit despre vulnerabilitatea descoperită. Plata se face cu condiția ca raportul să conțină toate informațiile necesare pentru confirmarea vulnerabilității. Orice rapoarte ulterioare care acoperă aceeași vulnerabilitate sau conțin vectori de atac similari vor fi marcate ca duplicate. Valoarea recompensei plătite este finală și nu se negociază. Plata se face cu condiția ca cercetătorul să trimită toate informațiile solicitate în factură. Factura de completat va fi trimisă separat.

11. Contact

Informațiile despre vulnerabilitățile descoperite se trimit la bugbounty@vivid.money. Subiectul e-mailului trebuie să înceapă cu expresia [BugBountyReport]. Exemplu: [BugBountyReport]: SQL injection.