Политика за разкриване на уязвимости

Как да ни съобщите за уязвимост в ofsec.org и какви ангажименти поемаме към изследователите, които действат добросъвестно.

Последна актуализация:

Ако откриете уязвимост в нашите системи, молим да ни я съобщите. Приемаме сигналите сериозно и не преследваме добросъвестни изследователи, които спазват правилата по-долу.

Обхват

  • ofsec.org и неговите поддомейни;
  • формулярите и пощенските адреси на домейна.

Извън обхвата са услугите на трети страни, които използваме (например Cloudflare и Google). Уязвимости в тях съобщавайте директно на съответния доставчик.

Как да съобщите

Изпратете имейл до [email protected] с:

  • описание на уязвимостта и засегнатия адрес;
  • стъпки за възпроизвеждане;
  • възможното въздействие;
  • данни за контакт, ако желаете да ви отговорим.

Адресът за контакт е публикуван и в /.well-known/security.txt. Можете да подадете сигнал и чрез националния екип за реагиране при инциденти с компютърната сигурност (НЕРИКС), който координира отговорното разкриване на уязвимости по чл. 19, ал. 4 от Закона за киберсигурността.

Нашите ангажименти

  • Потвърждаваме получаването на сигнала до 3 работни дни.
  • Информираме ви за оценката и за напредъка по отстраняването.
  • Не предприемаме правни действия срещу изследователи, които действат добросъвестно и спазват тази политика.
  • С ваше съгласие посочваме името ви след отстраняването на уязвимостта.

Не изплащаме парични награди.

Правила

  • Не изпълнявайте атаки за отказ на услуга (DoS) и не натоварвайте системите с автоматизирано сканиране.
  • Не използвайте социално инженерство, фишинг или физически достъп.
  • Не достъпвайте, не променяйте и не изтегляйте данни повече от необходимото, за да докажете уязвимостта. Изтрийте получените данни след съобщаването.
  • Не разкривайте уязвимостта публично, преди да е отстранена или преди да са изминали 90 дни от съобщаването, без да сме договорили друг срок.