1. O programu Bug Bounty

Program Bug Bounty je namenjen izboljšanju varnosti aplikacij in storitev Vivid Money. Program Bug Bounty je na voljo zunanjim raziskovalcem, ki sprejmejo pogoje tega programa. Vse prijave zunanjih raziskovalcev se obravnavajo posamično. Nagrade v okviru programa Bug Bounty so mogoče samo pod pogoji, opisanimi v tem programu. Vivid Money si pridržuje pravico, da se na prijave raziskav ne odzove, zavrne pravico do nagrade, zahteva dodatne informacije ter spremeni pravila in pogoje programa.

2. Politika zasebnosti

Vsakršno sodelovanje v okviru programa Bug Bounty je mogoče šele po podpisu pogodbe NDA (pogodbe o nerazkrivanju podatkov) med Vivid Money in raziskovalcem. Brez pisnega soglasja Vivid Money raziskovalci ne smejo razkriti odkritih ranljivosti, informacij o odkritih ranljivostih ali kakršnih koli informacij o delu, povezanem z iskanjem ranljivosti v aplikacijah in storitvah Vivid Money. Vivid Money si pridržuje pravico, da zavrne zahteve za javno razkritje ranljivosti, odkritih v aplikacijah in storitvah Vivid Money.

3. Obseg za raziskovalce

Vivid Money je ekosistem različnih aplikacij in storitev, dostopnih prek enotnega uporabniškega vmesnika mobilne aplikacije in spletnih virov. Obseg iskanja ranljivosti zajema:

*.vivid.money
Mobilna aplikacija iOS: https://apps.apple.com/de/app/id1504417378
Mobilna aplikacija Android: https://play.google.com/store/apps/details?id=vivid.money

Prijave, ki ne spadajo v ta obseg, se ne obravnavajo.

4. Omejitve

Program Bug Bounty je omejen samo na tehnične in logične ranljivosti, ki se lahko pojavijo v aplikacijah in storitvah Vivid Money. Program Bug Bounty ne zajema ranljivosti iz naslednjih kategorij:

Neželena pošta.
Ranljivosti, ki zahtevajo socialni inženiring/phishing.
Prijave phishinga in drugih tehnik socialnega inženiringa.
Napadi DDOS.
Hipotetične težave brez praktičnega učinka.
Varnostne ranljivosti v aplikacijah/knjižnicah tretjih oseb in na spletnih straneh tretjih oseb, integriranih z Vivid Money.
Izpisi skenerjev ali poročila, ki jih ustvarijo skenerji.
Težave, odkrite z avtomatiziranim testiranjem.
Javno objavljene napake v internetni programski opremi v 30 dneh od njihove objave.
Napadi Man-in-the-Middle.
Vrivanje glave Host brez konkretnega, dokazljivega učinka.
Self-XSS brez možnosti napada na druge uporabnike.
CSRF pri prijavi/odjavi.
CSRF in XSS brez vpliva na občutljive podatke.
Obhod preverjanja root in jailbreak.
Sporočila o možnosti obratnega inženiringa mobilne aplikacije.
Informacije o naslovih IP, zapisih DNS in odprtih vratih.
Razkritje javnih informacij o uporabnikih.
Clickjacking.
Sporočila o slabostih uporabe kod SMS.
Možnost neomejenega pošiljanja SMS in e-pošte.
Prijave nepravilne izvedbe zaokroževanja pri pretvorbi nakazil med obračunskimi, varčevalnimi in borznoposredniškimi računi.
Pomanjkanje priporočenih varnostnih mehanizmov brez dodatnega vektorja napada (na primer varnostnih glav HTTP, varnostnih zastavic piškotkov ali zaščite CSRF).
Nevarno konfiguriran TLS ali SSL brez vektorja napada.
Open Redirect brez dodatnega vektorja napada (na primer kraje žetona za avtorizacijo).
Zamenjava vsebine na strani.
Ranljivosti, ki zahtevajo izvedbo zapletenih ali malo verjetnih scenarijev interakcije uporabnika.
Tabnabbing.
Full Path Disclosure.
Ranljivosti, pri katerih je nujen pogoj za izkoriščanje prisotnost zlonamerne programske opreme, pravic root ali jailbreaka na napravi.
Uporaba zastarele ali potencialno ranljive programske opreme brez dodatnega vektorja napada.
Razkritje tehničnih ali neobčutljivih informacij (na primer različic izdelkov ali uporabljene programske opreme).
Težave, povezane s Cache-Control.
Pomanjkanje varnostnih zastavic v piškotkih.
Napake UX/UI in tipkarske napake.
Broken Link Hijacking.
Težave z mobilno aplikacijo:

5. Pravila in pogoji

5.1 Splošna pravila

Pri iskanju ranljivosti v aplikacijah in storitvah Vivid Money je treba upoštevati naslednja pravila:

Za testiranje uporabljajte samo lastne račune.
Za testiranje lahko uporabite poverilnice drugih uporabnikov, če so izrecno soglašali z njihovo posredovanjem.
Vivid Money za testiranje ne izdaja dodatnih dostopov in računov (vključno s testnimi računi).
Vsi poskusi dostopa do tujih poverilnic uporabnikov aplikacij in storitev Vivid Money so prepovedani.
Pri iskanju ranljivosti je prepovedano kršiti celovitost, razpoložljivost in zaupnost aplikacij in storitev Vivid Money.
Prepovedane so vse dejavnosti, ki bi lahko škodovale aplikacijam, infrastrukturi, strankam in partnerjem podjetja. Opomba: primeri prepovedanih dejavnosti: socialni inženiring, phishing, napadi za zavrnitev storitve, kompromitacija
Za potrditev ranljivosti je treba uporabiti najmanjši ustrezen nabor preverjanj. Preverjanja ne smejo vplivati na druge uporabnike ali na delovanje aplikacij in storitev Vivid Money Opomba: če ta pogoj ni izpolnjen, je raziskovanje ranljivosti strogo prepovedano.

5.2 Prednostni vrstni red prijav

Prijave, povezane z naslednjimi ranljivostmi, se lahko obravnavajo prednostno:

Oddaljeno izvajanje kode (RCE).
Vrivanja (na primer SQL injection).
XXE.
LFR/LFI/RFI.
SSRF.
Uhajanje pomnilnika.
Ranljivosti poslovne logike.
IDOR.
Ranljivosti nadzora dostopa.
Razkritje občutljivih informacij.
Prevzem računa.
Pomanjkanje avtentikacije / avtorizacije.
XSS in CSRF z vplivom na občutljive podatke.

5.3 Pravila testiranja RCE

Med testiranjem RCE so prepovedana vsa dejanja na strežniku, razen:

Izvajanja ukazov ifconfig (ipconfig), hostname, whoami.
Ustvarjanja prazne datoteke v imeniku trenutnega uporabnika.

Vsa druga dejanja je treba uskladiti z varnostno ekipo Vivid Money.

5.4 Pravila testiranja SQL injection

Med testiranjem SQL injection so prepovedana vsa dejanja na strežniku, razen:

Pridobivanja informacij o trenutni zbirki podatkov, njeni različici, trenutnem uporabniku ali imenu gostitelja.
Pridobivanja sheme zbirke podatkov, seznama tabel v njej in imen stolpcev v tabelah.
Izvajanja matematičnih, pretvorbenih ali logičnih poizvedb (tudi z uporabo SLEEP) brez pridobivanja podatkov (razen zgoraj navedenih).

Vsa druga dejanja je treba uskladiti z varnostno ekipo Vivid Money.

5.5 Pravila za nalaganje in branje datotek

Med testiranjem nalaganja in branja datotek je prepovedano izvajati naslednja dejanja:

Branje, spreminjanje, prilagajanje, brisanje in zamenjava kakršnih koli datotek na strežniku (vključno s sistemskimi datotekami).
Nalaganje datotek, ki bi lahko povzročile zavrnitev storitve (na primer velikih datotek).
Nalaganje zlonamernih datotek (na primer zlonamerne ali vohunske programske opreme).

6. Določanje kritičnosti ranljivosti

Stopnjo kritičnosti odkritih ranljivosti določi varnostna ekipa Vivid Money. Ko varnostna ekipa Vivid Money prejme poročilo raziskovalcev, izvede lastna preverjanja in določi stopnjo kritičnosti odkrite ranljivosti. Pri določanju stopnje kritičnosti se upoštevajo tudi naslednji dejavniki:

Raven privilegijev, potrebna za izvedbo napada.
Zahtevnost odkrivanja in izkoriščanja.
Zahteva po interakciji z uporabnikom.
Vpliv na celovitost, razpoložljivost in zaupnost prizadetih podatkov.
Vpliv na poslovna tveganja in tveganja za ugled.
Število prizadetih uporabnikov.

7. Zahteve za poročila

Eno poročilo naj opisuje eno ranljivost. Izjeme so primeri, ko so ranljivosti povezane ali jih je mogoče združiti v verigo. Poročilo o ranljivosti mora vsebovati naslednje informacije:

Opis ranljivosti (ocena, vpliv, kritičnost itd.).
Vektor napada.
Korake za ponovitev.
Analizo kritičnosti.
Priporočila za odpravo.
Vrsto ranljivosti.
Posnetke zaslona ali videoposnetek, ki potrjujejo obstoj ranljivosti in prikazujejo korake za ponovitev.
Primer oblikovane poizvedbe.

Neizpolnjevanje zahtev za poročilo lahko privede do znižanja nagrade. Če poročilo ne vsebuje dovolj podatkov za preverjanje ranljivosti, nagrada ni izplačana.

8. Čas obravnave poročila

Vsako poročilo varnostna ekipa Vivid Money obravnava posamično. Trajanje obravnave poročila je odvisno od stopnje kritičnosti odkrite ranljivosti in obremenjenosti ekipe. V povprečju je vsako poročilo obravnavano v DVEH TEDNIH.

9. Nagrade

Nagrada se izplača samo za odkritje doslej neznanih ranljivosti. Izplačilo je mogoče ob upoštevanju vseh pogojev, pravil in omejitev tega programa; če so kršeni, izplačila ni.

10. Izplačilo nagrade

Nagrada se izplača samo za prvo prejeto poročilo o odkriti ranljivosti. Izplačilo je mogoče, če poročilo vsebuje vse informacije, potrebne za potrditev ranljivosti. Vsa nadaljnja poročila o isti ranljivosti ali s podobnimi vektorji napada bodo označena kot dvojniki. Višina izplačane nagrade je dokončna in ni predmet pogajanj. Izplačilo je mogoče, če raziskovalec pošlje vse informacije, zahtevane v računu. Račun za izpolnitev bo poslan posebej.

11. Kontakt

Informacije o odkritih ranljivostih pošljite na bugbounty@vivid.money. Zadeva e-poštnega sporočila naj se začne z besedno zvezo [BugBountyReport]. Primer: [BugBountyReport]: SQL injection.