Pažeidžiamumų atskleidimo programa

„LiveAgent“ siekia savo paslaugas išlaikyti saugias visiems, todėl duomenų saugumas mums yra vienas svarbiausių. Mūsų pažeidžiamumų atskleidimo programa siekiama sumažinti bet kokių saugumo trūkumų poveikį mūsų priemonėms ar jų naudotojams. „LiveAgent“ pažeidžiamumų atskleidimo programa taikoma programinei įrangai, kurią iš dalies arba daugiausia parašė „Quality Unit“.

Jei esate saugumo tyrėjas ir aptikote Paslaugos saugumo pažeidžiamumą, esame dėkingi už jūsų pagalbą atskleidžiant tai mums privačiai ir suteikiant mums galimybę tai ištaisyti prieš paskelbiant techninę informaciją.

Pagal šį aprašymą mum pranešus apie pažeidžiamumą, „LiveAgent“ bendradarbiaus su saugumo tyrėjais, kad tai išspręstų. Patvirtinsime, reaguosime ir ištaisysime pažeidžiamumus, taip palaikydami savo įsipareigojimą užtikrinti saugumą ir privatumą. Nesiimsime teisinių veiksmų prieš tuos, kurie atsakingai atranda ir praneša apie saugumo pažeidžiamumus bei nesustabdysime ar nenutrauksime prieigos prie Paslaugos. Bet kokios neatitikties atveju „LiveAgent“ pasilieka visas savo teisines teises.

Pranešimo eiga

Pasidalykite bet kokių įtariamų pažeidžiamumų informacija su „LiveAgent“ kūrėjų komanda adresu support@liveagent.com. Prašome be aiškaus mūsų leidimo neviešinti šios informacijos už šio proceso ribų. Pranešdami apie bet kokius įtariamus pažeidžiamumus, pateikite kuo daugiau informacijos. Jei norite pateikti kelis pranešimus vienu metu, pateikite tik vieną pranešimą (jei įmanoma, svarbiausią) ir laukite atsakymo.

Kompensacija

Džiaugiamės galėdami pasiūlyti atlygį už mūsų klientus apsaugoti padedančią informaciją apie pažeidžiamumą ir taip padėkoti saugumo tyrėjams, nusprendusiems dalyvauti mūsų premijų už klaidas programoje. Įprastinė premija už kiekvieną pateiktą ir mūsų kūrėjų komandos patikrintą pažeidžiamumą yra 50 JAV dolerių.

Atlyginsime tik pirmajam pažeidžiamumą pateikusiajam. Pakartotiniai pranešimai nebus atlyginti.

Taikymo apimtis

Testuoti galite tik jums priklausančią „LiveAgent“ paskyrą ir tik jūs arba jūsų įgaliotas testavimui agentas. Pavyzdžiui:

*jūsųdomenas*.ladesk.com

Atlyginsime jums už šių tipų pažeidžiamumus:

Nuotolinis komandų vykdymas (Remote Command Execution (RCE))
SQL injekcija
Autentifikacijos pažeidimai
Sesijos valdymo pažeidimai
Prieigos kontrolės apėjimas
Cross-Site Scripting (XSS)
Cross-Site Request Forgery (CSRF)
Atviras URL nukreipimas
Directory Traversal

Pranešimai apie atvejus, kai užpuolikas gali kelti grėsmę tik savo paskyrai su administratoriaus vaidmeniu, nebus atlyginami. Už XSS ataką, kurią sukėlė administratorius, taip pat nebus atlyginama.

Kad būtų galima pripažinti pažeidžiamumą, jis turi būti naujausioje viešoje programinės įrangos versijoje (įskaitant oficialiai išleistas viešąsias beta versijas). Atitinkančios kriterijų bus tik saugumo spragos. Labai norėtume, kad žmonės atitinkamais kanalais praneštų apie kitas klaidas, bet kadangi šios programos tikslas yra ištaisyti saugumo spragas, atlygis bus skiriamas tik už klaidas, dėl kurių atsiranda saugumo pažeidžiamumų. Kitos klaidos bus priimamos tik mūsų nuožiūra.

Gairės

Norėdami gauti atlygį pagal šią informacijos atskleidimo programą, laikykitės toliau pateiktų gairių:

Nekeiskite ir neištrinkite „LiveAgent“ talpinamų duomenų.
Tyčia nelįskite prie viešai neprieinamų „LiveAgent“ duomenų daugiau, nei būtina pažeidžiamumui pademonstruoti.
Nenaudokite DDoS atakos ir kitaip netrikdykite, nepertraukinėkite ir nekenkite mūsų vidinei ar išorinei paslaugų kokybei.
Nesidalinkite iš „LiveAgent“ gauta konfidencialia informacija, įskaitant, bet neapsiribojant, narių ar donorų mokėjimų informacija, su jokia trečiąja šalimi.
Socialinė inžinerija nėra įtraukta į taikymo sritį. Nesiųskite apgaulingų el. laiškų (angl. phishing) ir nenaudokite kitų socialinės inžinerijos metodų niekam, įskaitant „QualityUnit“ darbuotojus, narius, pardavėjus ar partnerius.

Be to, prieš viešai aptardami pažeidžiamumą ar rašydami apie jį tinklaraštyje, suteikite mums bent 90 dienų pažeidžiamumui ištaisyti. Mūsų komanda tiki, kad saugumo tyrėjai turi teisę pranešti apie savo tyrimus ir kad atskleidimas yra labai naudingas, ir supranta, kad tai labai subjektyvus klausimas, kada ir kaip nuslėpti informaciją, kad būtų sumažinta rizika, jog informacija apie pažeidžiamumą nebūtų netinkamai panaudota. Jei manote, kad būtina atskleisti informaciją anksčiau, praneškite mums, kad galėtume pakalbėti apie tai.