Program Bug Bounty

1. O programe Bug Bounty

Program Bug Bounty je zameraný na zvýšenie bezpečnosti aplikácií a služieb Vivid Money.
Program Bug Bounty je určený externým výskumníkom, ktorí prijmú podmienky tohto programu.
Všetky žiadosti externých výskumníkov sa posudzujú individuálne.
Odmeny v rámci programu Bug Bounty sú možné výlučne za podmienok opísaných v tomto programe.
Spoločnosť Vivid Money si vyhradzuje právo neodpovedať na žiadosti výskumníkov, odoprieť nárok na odmenu, vyžiadať si doplňujúce informácie, ako aj meniť pravidlá a podmienky programu.

2. Zásady ochrany súkromia

Akákoľvek spolupráca v rámci programu Bug Bounty je možná až po podpísaní dohody o mlčanlivosti (NDA) medzi Vivid Money a výskumníkom.
Bez písomného súhlasu Vivid Money je výskumníkom zakázané zverejňovať zistené zraniteľnosti a informácie o nich, ako aj zdieľať akékoľvek informácie o práci súvisiacej s hľadaním zraniteľností v aplikáciách a službách Vivid Money.
Vivid Money si vyhradzuje právo zamietnuť žiadosti o zverejnenie zraniteľností nájdených v aplikáciách a službách Vivid Money.

3. Rozsah pre výskumníkov

Vivid Money je ekosystém rôznych aplikácií a služieb dostupných cez jednotné používateľské rozhranie mobilnej aplikácie a webové zdroje.
Zraniteľnosti je možné hľadať v týchto oblastiach:

*.vivid.money
Mobilná aplikácia iOS: https://apps.apple.com/de/app/id1504417378
Mobilná aplikácia Android: https://play.google.com/store/apps/details?id=vivid.money

Žiadosti mimo tohto rozsahu sa nebudú posudzovať.

4. Obmedzenia

Program Bug Bounty sa obmedzuje výlučne na technické a logické zraniteľnosti, ktoré sa môžu nachádzať v aplikáciách a službách Vivid Money.
Program Bug Bounty sa nevzťahuje na zraniteľnosti, ktoré patria do niektorej z týchto kategórií:

Spam.
Zraniteľnosti, ktoré si vyžadujú sociálne inžinierstvo/phishing.
Hlásenia o phishingu a iných technikách sociálneho inžinierstva.
Útoky DDoS.
Hypotetické problémy bez praktického dopadu.
Bezpečnostné zraniteľnosti v aplikáciách/knižniciach tretích strán a na webových stránkach tretích strán integrovaných s Vivid Money.
Výstupy skenerov alebo reporty generované skenermi.
Problémy zistené automatizovaným testovaním.
Verejne zverejnené chyby v internetovom softvéri do 30 dní od ich zverejnenia.
Útoky typu Man-in-the-Middle.
Injekcie hlavičky Host bez konkrétneho preukázateľného dopadu.
Self-XSS bez možnosti napadnúť iných používateľov.
CSRF pri prihlásení/odhlásení.
CSRF a XSS bez vplyvu na citlivé údaje.
Obídenie kontroly root a jailbreak.
Hlásenia o možnosti reverzného inžinierstva mobilnej aplikácie.
Informácie o IP adresách, záznamoch DNS a otvorených portoch.
Zverejnenie verejných informácií o používateľoch.
Clickjacking.
Hlásenia o nevýhodách používania SMS kódov.
Možnosť neobmedzeného odosielania SMS a e-mailov.
Hlásenia o nesprávnej implementácii zaokrúhľovania pri konverzných prevodoch medzi odhadovanými, kumulatívnymi a maklérskymi účtami.
Absencia odporúčaných bezpečnostných mechanizmov bez ďalšieho vektora útoku (napríklad bezpečnostné hlavičky HTTP, bezpečnostné príznaky cookies alebo ochrana CSRF).
Nebezpečne nakonfigurované TLS alebo SSL bez vektora útoku.
Open Redirect bez ďalšieho vektora útoku (napríklad krádeže autorizačného tokenu).
Podvrhnutie obsahu na stránke.
Zraniteľnosti, ktoré si vyžadujú zložité alebo nepravdepodobné scenáre interakcie používateľa.
Tabnabbing.
Full Path Disclosure.
Zraniteľnosti, ktorých nevyhnutnou podmienkou je prítomnosť škodlivého softvéru, práv root alebo jailbreaku v zariadení.
Používanie zastaraného alebo potenciálne zraniteľného softvéru bez ďalšieho vektora útoku.
Zverejnenie technických alebo necitlivých informácií (napríklad verzií produktov alebo použitého softvéru).
Problémy súvisiace s Cache-Control.
Chýbajúce bezpečnostné príznaky v cookies.
Chyby UX/UI a pravopisné chyby.
Broken Link Hijacking.
Problémy s mobilnou aplikáciou:

5. Pravidlá a podmienky

5.1 Všeobecné pravidlá

Pri hľadaní zraniteľností v aplikáciách a službách Vivid Money je potrebné dodržiavať tieto pravidlá:

Na testovanie používajte len vlastné účty.
Prihlasovacie údaje iných používateľov môžete na testovanie použiť, ak s ich poskytnutím výslovne súhlasili.
Vivid Money na testovanie neposkytuje ďalšie prístupy ani účty (vrátane testovacích účtov).
Akékoľvek pokusy získať cudzie prihlasovacie údaje používateľov aplikácií a služieb Vivid Money sú zakázané.
Pri hľadaní zraniteľností je zakázané narušiť integritu, dostupnosť a dôvernosť aplikácií a služieb Vivid Money.
Akákoľvek činnosť, ktorá by mohla poškodiť aplikácie, infraštruktúru, klientov a partnerov spoločnosti, je zakázaná.
Poznámka: príklady zakázaných činností: sociálne inžinierstvo, phishing, útoky odmietnutia služby, kompromitácia
Na potvrdenie zraniteľnosti je potrebné použiť minimálny primeraný rozsah kontrol. Kontroly nesmú ovplyvniť iných používateľov ani výkon aplikácie a služby Vivid Money
Poznámka: ak táto podmienka nie je splnená, skúmanie zraniteľností je prísne zakázané.

5.2 Poradie priority žiadostí

Žiadosti týkajúce sa týchto zraniteľností sa môžu posudzovať prednostne:

Vzdialené spustenie kódu (RCE).
Injekcie (napríklad SQL injekcie).
XXE.
LFR/LFI/RFI.
SSRF.
Úniky pamäte.
Zraniteľnosti obchodnej logiky.
IDOR.
Zraniteľnosti riadenia prístupu.
Zverejnenie citlivých informácií.
Prevzatie účtu.
Chýbajúca autentifikácia/autorizácia.
XSS a CSRF s vplyvom na citlivé údaje.

5.3 Pravidlá testovania RCE

Pri testovaní RCE sú na serveri zakázané všetky činnosti okrem:

Spustenia príkazov ifconfig (ipconfig), hostname, whoami.
Vytvorenia prázdneho súboru v adresári aktuálneho používateľa.

Všetky ostatné činnosti je potrebné vopred dohodnúť s bezpečnostným tímom Vivid Money.

5.4 Pravidlá testovania SQL injekcií

Pri testovaní SQL injekcií sú na serveri zakázané všetky činnosti okrem:

Získania informácií o aktuálnej databáze, jej verzii, aktuálnom používateľovi alebo názve hostiteľa.
Získania schémy databázy, zoznamu jej tabuliek a názvov stĺpcov v tabuľkách.
Vykonania matematických, konverzných alebo logických dopytov (aj s použitím SLEEP) bez získavania údajov (okrem vyššie uvedených).

Všetky ostatné činnosti je potrebné vopred dohodnúť s bezpečnostným tímom Vivid Money.

5.5 Pravidlá nahrávania a čítania súborov

Pri testovaní nahrávania a čítania súborov je zakázané:

Čítať, meniť, upravovať, mazať a nahrádzať akékoľvek súbory na serveri (vrátane systémových súborov).
Nahrávať súbory, ktoré by mohli spôsobiť odmietnutie služby (napríklad veľké súbory).
Nahrávať škodlivé súbory (napríklad malvér alebo spyware).

6. Určenie závažnosti zraniteľnosti

Úroveň závažnosti nájdených zraniteľností určuje bezpečnostný tím Vivid Money.
Po prijatí hlásenia od výskumníkov vykoná bezpečnostný tím Vivid Money vlastné kontroly a určí úroveň závažnosti nájdenej zraniteľnosti.
Pri určovaní úrovne závažnosti sa zohľadňujú aj tieto faktory:

Úroveň oprávnení potrebných na vykonanie útoku.
Náročnosť odhalenia a zneužitia.
Potreba interakcie s používateľom.
Vplyv na integritu, dostupnosť a dôvernosť dotknutých údajov.
Vplyv na obchodné riziká a riziká poškodenia reputácie.
Počet dotknutých používateľov.

7. Požiadavky na hlásenie

Jedno hlásenie má opisovať jednu zraniteľnosť. Výnimkou sú prípady, keď sú zraniteľnosti prepojené alebo sa dajú spojiť do reťazca.
Hlásenie o zraniteľnosti má obsahovať tieto informácie:

Opis zraniteľnosti (hodnotenie, dopad, závažnosť atď.).
Vektor útoku.
Kroky na zopakovanie.
Analýzu závažnosti.
Odporúčania na odstránenie.
Typ zraniteľnosti.
Snímky obrazovky alebo video, ktoré potvrdzujú existenciu zraniteľnosti a ukazujú kroky na jej zopakovanie.
Príklad naformátovaného dopytu.

Nedodržanie požiadaviek na hlásenie môže viesť k zníženiu výšky odmeny.
Ak hlásenie neobsahuje dostatok údajov na overenie zraniteľnosti, odmena sa nevyplatí.

8. Lehota na posúdenie hlásenia

Každé hlásenie posudzuje bezpečnostný tím Vivid Money individuálne.
Dĺžka posúdenia závisí od závažnosti nájdenej zraniteľnosti a od vyťaženosti tímu.
V priemere sa každé hlásenie posúdi do DVOCH TÝŽDŇOV.

9. Odmeny

Odmena sa vypláca len za objavenie doteraz neznámych zraniteľností.
Vyplatenie podlieha všetkým podmienkam, pravidlám a obmedzeniam tohto programu. Pri ich porušení sa odmena nevyplatí.

10. Vyplatenie odmeny

Odmena sa vypláca len za prvé prijaté hlásenie o nájdenej zraniteľnosti.
Odmena sa vyplatí, ak hlásenie obsahuje všetky informácie potrebné na potvrdenie zraniteľnosti.
Všetky ďalšie hlásenia o tej istej zraniteľnosti alebo s podobnými vektormi útoku budú označené ako duplicitné.
Výška vyplatenej odmeny je konečná a nie je predmetom vyjednávania.
Odmena sa vyplatí pod podmienkou, že výskumník pošle všetky informácie požadované vo faktúre. Faktúru na vyplnenie pošleme samostatne.

11. Kontakty

Informácie o nájdených zraniteľnostiach posielajte na [email protected].
Predmet e-mailu má začínať frázou [BugBountyReport]. Príklad: [BugBountyReport]: SQL injection.