Cập nhật: ngày 3 tháng mười hai năm 2021
Giới thiệu
Chúng tôi cam kết viết mã hoàn hảo không có lỗi, tuy nhiên như bất kỳ kỹ sư phần mềm nào cũng hiểu, điều này không thể xảy ra trong hầu hết các trường hợp. Đó là lý do tại sao Chương trình Công bố Lỗ hổng này tồn tại. Tài liệu sau đây phác thảo các hướng dẫn của chương trình, những gì bạn nên kiểm tra và những loại kiểm tra nào bạn nên tránh. Nó cũng đề cập đến cách báo cáo các vấn đề và phần thưởng cho việc làm đó.
Hướng dẫn
Các quy tắc rất đơn giản:
- Thông báo cho chúng tôi ngay khi bạn phát hiện ra một vấn đề bảo mật thực sự hoặc tiềm ẩn.
- Nỗ lực hết sức để tránh vi phạm quyền riêng tư, làm giảm trải nghiệm người dùng, gián đoạn hệ thống sản xuất và phá hủy hoặc thao túng dữ liệu.
- Chỉ sử dụng các lỗ hổng trong phạm vi cần thiết để xác nhận sự hiện diện của lỗ hổng.
- Cung cấp cho chúng tôi một khoảng thời gian hợp lý để giải quyết vấn đề trước khi bạn công bố nó công khai.
- Không gửi một khối lượng lớn báo cáo chất lượng thấp.
Phạm vi
Phạm vi của chương trình này bao gồm các mục sau:
- Trang web - windscribe.com
- API - api.windscribe.com
- Điểm cuối VPN
- Ứng dụng Windows
- Ứng dụng MacOS
- Ứng dụng Android
- Ứng dụng iOS
- Tiện ích mở rộng Chrome
- Tiện ích mở rộng Firefox
Những điều cần tránh
Trong quá trình săn lùng lỗi, xin vui lòng tránh những điều sau:
- Tấn công DDoS vào cơ sở hạ tầng của chúng tôi
- Tấn công brute force
- Kỹ thuật xã hội
- Xuất khẩu một lượng lớn dữ liệu
Phản hồi của chúng tôi
Sau khi gửi báo cáo, bạn có thể mong đợi nghe tin từ chúng tôi trong vòng 48 giờ, nhưng thường là nhanh hơn nhiều. Chúng tôi sẽ cố gắng tái tạo lại vấn đề và triển khai một bản sửa lỗi càng sớm càng tốt. Trong hầu hết các trường hợp, điều này sẽ diễn ra khá nhanh, nhưng trong các trường hợp lỗ hổng ở cấp ứng dụng cần cập nhật, có thể mất nhiều thời gian hơn. Điều này không cần phải nói, nhưng chúng tôi sẽ nói: Chúng tôi sẽ không kiện bạn nếu bạn công bố vấn đề cho chúng tôi.
Phần thưởng lỗi
Nếu báo cáo của bạn được xác minh và được coi là một vấn đề, bạn đủ điều kiện nhận bồi thường cho nỗ lực của mình. Số tiền thực tế hoàn toàn phụ thuộc vào mức độ nghiêm trọng của vấn đề theo đánh giá của chúng tôi. Lịch sử cho thấy, chúng tôi đã trả từ $100 đến $5000 cho các lỗ hổng được công bố.
Báo cáo
Để công bố một vấn đề, vui lòng gửi email cho chúng tôi tại security (AT) windscribe.com. Bạn có thể tìm thấy khóa PGP của chúng tôi tại đây. Vui lòng mô tả càng chi tiết càng tốt và cung cấp các bước chính xác để tái tạo vấn đề.
Công bố lỗ hổng
Trong trường hợp phát hiện một vấn đề nghiêm trọng có ảnh hưởng rộng rãi, chúng tôi sẽ thông báo cho tất cả người dùng bị ảnh hưởng qua 4 kênh liên lạc: thông báo trong ứng dụng của chúng tôi, email (nếu email được cung cấp trong quá trình đăng ký), Twitter và Reddit. Một phân tích đầy đủ về vấn đề và giải pháp sẽ được đăng trên blog của chúng tôi. Ví dụ về công bố tự nguyện.