Güncelleme: 3 Aralık 2021
Giriş
Kusursuz ve hatasız kod yazmaya kararlıyız, ancak her yazılım mühendisinin anlayacağı üzere bu çoğu durumda mümkün değildir. Güvenlik Açığı Bildirim Programı'nın varlık nedeni budur. Aşağıdaki belge program kurallarımızı, neleri test etmen gerektiğini ve hangi testlerden kaçınman gerektiğini açıklar. Ayrıca sorunların nasıl bildirileceğini ve bunun karşılığındaki ödülleri de belirtir.
Kurallar
Kurallar basit:
- Gerçek veya olası bir güvenlik sorununu keşfettikten sonra mümkün olan en kısa sürede bize bildir.
- Gizlilik ihlallerinden, kullanıcı deneyiminin kötüleşmesinden, üretim sistemlerinin aksamasından ve verilerin yok edilmesi ya da manipüle edilmesinden kaçınmak için elinden gelen her şeyi yap.
- Açıkları yalnızca güvenlik açığının varlığını doğrulamak için gerekli olduğu ölçüde kullan.
- Sorunu herkese açık şekilde açıklamadan önce çözmemiz için bize makul bir süre tanı.
- Çok sayıda düşük kaliteli rapor gönderme.
Kapsam
Bu programın kapsamına şunlar dahildir:
- Web sitesi - windscribe.com
- API - api.windscribe.com
- VPN uç noktaları
- Windows uygulaması
- MacOS uygulaması
- Android uygulaması
- iOS uygulaması
- Chrome uzantısı
- Firefox uzantısı
Kaçınılması Gerekenler
Hata avlarken lütfen şunlardan kaçın:
- Altyapımıza DDoS saldırısı düzenlemek
- Kaba kuvvet denemeleri yapmak
- Sosyal mühendislik
- Büyük miktarda veri sızdırmak
Yanıtımız
Bir rapor gönderdikten sonra 48 saat içinde, genellikle ise çok daha kısa sürede bizden yanıt almayı bekleyebilirsin. Sorunu yeniden oluşturmaya çalışacak ve mümkün olan en kısa sürede düzeltme dağıtacağız. Çoğu durumda bu oldukça hızlı gerçekleşir; ancak güncelleme gerektiren uygulama düzeyi güvenlik açıklarında daha uzun sürebilir. Söylemeye gerek yok ama yine de söyleyelim: Sorunları bize bildirirsen sana dava açmayacağız.
Hata Ödülü
Raporun doğrulanır ve sorun olduğu kabul edilirse, çabalarının karşılığı için ödül almaya hak kazanırsın. Gerçek tutar, yalnızca bizim belirlediğimiz sorunun ciddiyetine bağlıdır. Geçmişte bildirilen güvenlik açıkları için $100 ile $5000 arasında ödeme yaptık.
Bildirim
Bir sorunu bildirmek için lütfen security (AT) windscribe.com adresinden bize e-posta gönder. PGP anahtarımızı burada bulabilirsin. Lütfen mümkün olduğunca açıklayıcı ol ve sorunu yeniden oluşturmak için tam adımları ver.
Güvenlik Açığı Bildirimi
Geniş etkisi olan kritik bir sorun bulunması durumunda, etkilenen tüm kullanıcıları 4 iletişim kanalıyla bilgilendiririz: uygulamalarımız içindeki bildirimler, e-posta (kayıt sırasında e-posta verildiyse), Twitter ve Reddit. Sorunun ve çözümün ayrıntılı açıklaması blogumuzda yayımlanır. Örnek gönüllü bildirim.