업데이트: 2021년 십이월 3일
소개
저희는 결함 없이 완벽한 코드를 작성하기 위해 최선을 다하지만, 소프트웨어 엔지니어라면 누구나 이해하듯 대부분의 경우 이는 불가능합니다. 그래서 이 취약점 공개 프로그램을 운영합니다. 다음 문서에서는 프로그램 지침, 테스트해야 할 사항, 피해야 할 테스트 유형을 설명합니다. 문제를 신고하는 방법과 그에 따른 보상도 안내합니다.
지침
규칙은 간단합니다:
- 실제 또는 잠재적 보안 문제를 발견한 후 가능한 한 빨리 알려주세요.
- 프라이버시 침해, 사용자 경험 저하, 운영 시스템 중단, 데이터 파기 또는 조작을 방지하기 위해 최선을 다해 주세요.
- 취약점의 존재를 확인하는 데 필요한 범위 내에서만 익스플로잇을 사용해 주세요.
- 문제를 공개하기 전에 저희가 이를 해결할 수 있도록 합리적인 시간을 제공해 주세요.
- 품질이 낮은 보고서를 대량으로 제출하지 마세요.
범위
이 프로그램의 적용 범위는 다음과 같습니다:
- 웹사이트 - windscribe.com
- API - api.windscribe.com
- VPN 엔드포인트
- Windows 앱
- MacOS 앱
- Android 앱
- iOS 앱
- Chrome 확장 프로그램
- Firefox 확장 프로그램
피해야 할 사항
버그를 찾는 동안 다음 행위는 삼가 주세요:
- 당사 인프라에 대한 DDoS 공격
- 무차별 대입 공격
- 사회공학적 공격
- 대량의 데이터 유출
당사의 대응
보고서를 제출하면 48시간 이내에 답변을 받으실 수 있으며, 보통은 훨씬 더 빠르게 연락드려요. 문제를 재현한 뒤 최대한 신속하게 수정 사항을 배포하겠습니다. 대부분은 꽤 빠르게 처리되지만, 업데이트가 필요한 애플리케이션 수준의 취약점은 시간이 더 걸릴 수 있어요. 굳이 말하지 않아도 아시겠지만, 그래도 확실히 말씀드릴게요. 문제를 당사에 공개했다고 해서 소송을 걸지는 않습니다.
버그 바운티
보고 내용이 확인되고 실제 문제로 판단되면, 기여에 대한 보상을 받으실 수 있어요. 실제 보상액은 전적으로 당사가 판단한 문제의 심각도에 따라 결정됩니다. 지금까지 공개된 취약점에 대해 $100에서 $5000까지 지급한 바 있습니다.
보고 방법
문제를 공개하려면 security (AT) windscribe.com으로 이메일을 보내 주세요. PGP 키는 여기에서 확인할 수 있습니다. 가능한 한 자세히 설명하고 문제를 재현할 수 있는 정확한 단계를 알려 주세요.
취약점 공개
광범위한 영향을 미치는 심각한 문제가 발견될 경우, 당사는 4가지 소통 채널을 통해 영향을 받는 모든 사용자에게 알립니다. 앱 내 알림, 이메일(가입 시 이메일을 제공한 경우), Twitter, Reddit입니다. 문제와 해결 방법에 대한 전체 분석은 블로그에 게시됩니다. 자발적 공개 사례.