Πρόγραμμα Αποκάλυψης Ευπαθειών
Το LiveAgent στοχεύει να διατηρεί την υπηρεσία του ασφαλή για όλους και η ασφάλεια των δεδομένων είναι υψίστης σημασίας. Το Πρόγραμμα Αποκάλυψης Ευπαθειών μας έχει σκοπό να ελαχιστοποιήσει τον αντίκτυπο που μπορεί να έχουν τυχόν αδυναμίες ασφαλείας στα εργαλεία μας ή στους χρήστες τους. Το Πρόγραμμα Αποκάλυψης Ευπαθειών του LiveAgent καλύπτει λογισμικό που έχει γραφτεί εν μέρει ή κυρίως από την Quality Unit.
Αν είστε ερευνητής ασφαλείας και έχετε ανακαλύψει μια ευπάθεια στο Σύστημα, εκτιμούμε ιδιαίτερα να μας τη γνωστοποιήσετε ιδιωτικά και να μας δώσετε την ευκαιρία να την επιδιορθώσουμε πριν δημοσιεύσετε τεχνικές λεπτομέρειες.
Το LiveAgent θα συνεργαστεί με ερευνητές ασφαλείας όταν μας αναφέρονται ευπάθειες όπως περιγράφεται εδώ. Θα επικυρώσουμε, θα απαντήσουμε και θα διορθώσουμε τα κενά ασφαλείας υποστηρίζοντας τη δέσμευσή μας στην ασφάλεια και την ιδιωτικότητα. Δεν θα προχωρήσουμε σε νομικές ενέργειες, ούτε θα αναστείλουμε ή τερματίσουμε την πρόσβαση στην Υπηρεσία για όσους εντοπίζουν και αναφέρουν υπεύθυνα ευπάθειες ασφαλείας. Το LiveAgent διατηρεί όλα τα νόμιμα δικαιώματά του σε περίπτωση μη συμμόρφωσης.
Αναφορά
Μοιραστείτε τις λεπτομέρειες για τυχόν ύποπτες ευπάθειες με την Ομάδα Ανάπτυξης του LiveAgent στο support@liveagent.com . Παρακαλούμε μην δημοσιοποιείτε αυτές τις λεπτομέρειες εκτός αυτής της διαδικασίας χωρίς ρητή άδεια.
Κατά την αναφορά ύποπτων ευπαθειών, συμπεριλάβετε όσο το δυνατόν περισσότερες πληροφορίες. Αν θέλετε να υποβάλετε πολλαπλές αναφορές ταυτόχρονα, παρακαλούμε υποβάλετε μόνο μία αναφορά (την πιο σημαντική αν είναι δυνατόν) και περιμένετε απάντηση.
Ανταμοιβή
Είμαστε στην ευχάριστη θέση να προσφέρουμε ανταμοιβή για πληροφορίες ευπαθειών που μας βοηθούν να προστατεύουμε τους πελάτες μας, ως ένδειξη ευχαριστίας προς τους ερευνητές ασφαλείας που επιλέγουν να συμμετάσχουν στο πρόγραμμα bug bounty μας. Η βασική ανταμοιβή είναι $100 ανά ευπάθεια που υποβάλλεται και επαληθεύεται από την ομάδα ανάπτυξής μας.
Θα ανταμείψουμε μόνο τον πρώτο που θα αναφέρει μια ευπάθεια. Διπλές αναφορές δεν θα ανταμειφθούν.
Εύρος
Μπορείτε να δοκιμάσετε μόνο σε έναν λογαριασμό LiveAgent για τον οποίο είστε κάτοχος ή Έχετε εξουσιοδοτηθεί από τον κάτοχο του λογαριασμού να διεξάγετε τέτοιου είδους δοκιμές. Για παράδειγμα:
- yourdomain.ladesk.com
Τύποι Ευπαθειών που Ανταμείβονται
Θα σας ανταμείψουμε για τους παρακάτω τύπους ευπαθειών:
- Απομακρυσμένη Εκτέλεση Εντολών (RCE)
- SQL Injection
- Ελαττωματική Πιστοποίηση
- Ελαττωματική Διαχείριση Συνεδρίας
- Παράκαμψη Ελέγχου Πρόσβασης
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Ανοικτή Ανακατεύθυνση URL
- Διέλευση Καταλόγου
Σημείωση: Αναφορές όπου ο εισβολέας μπορεί να απειλήσει μόνο τον δικό του λογαριασμό με δικαιώματα Διαχειριστή δεν θα ανταμειφθούν. XSS που προκαλείται από Διαχειριστή δεν θα ανταμειφθεί.
Για να πληροί τα κριτήρια, η ευπάθεια πρέπει να υπάρχει στην τελευταία δημόσια έκδοση (συμπεριλαμβανομένων των επίσημα δημοσιευμένων δημόσιων beta) του λογισμικού. Μόνο ευπάθειες ασφαλείας πληρούν τις προϋποθέσεις. Θα χαρούμε αν μας αναφέρετε και άλλα σφάλματα μέσω των κατάλληλων καναλιών, αλλά επειδή ο σκοπός του προγράμματος είναι να διορθώνονται ευπάθειες ασφαλείας, μόνο σφάλματα που οδηγούν σε ευπάθειες ασφαλείας θα είναι επιλέξιμα για ανταμοιβή. Άλλα σφάλματα θα γίνονται δεκτά κατά τη διακριτική μας ευχέρεια.
Οδηγίες
Παρακαλούμε ακολουθήστε τις παρακάτω οδηγίες ώστε να είστε επιλέξιμοι για ανταμοιβή στο πλαίσιο αυτού του προγράμματος αποκάλυψης:
- Μην τροποποιείτε ή διαγράφετε μόνιμα δεδομένα που φιλοξενούνται στο LiveAgent.
- Μην προσπαθείτε να αποκτήσετε πρόσβαση σε μη δημόσια δεδομένα του LiveAgent πέρα από όσο είναι απαραίτητο για την επίδειξη της ευπάθειας.
- Μην κάνετε DDoS ή διακόπτετε, διαταράσσετε ή υποβαθμίζετε τις εσωτερικές ή εξωτερικές υπηρεσίες μας.
- Μην κοινοποιείτε εμπιστευτικές πληροφορίες που αποκτήθηκαν από το LiveAgent, συμπεριλαμβανομένων ενδεικτικά πληροφοριών πληρωμής μελών ή δωρητών, σε τρίτους.
- Το social engineering είναι εκτός πλαισίου. Μην στέλνετε phishing emails ή χρησιμοποιείτε άλλες τεχνικές κοινωνικής μηχανικής εναντίον οποιουδήποτε, συμπεριλαμβανομένου του προσωπικού της QualityUnit, μελών, προμηθευτών ή συνεργατών.
Επιπλέον, παρακαλούμε να μας δώσετε τουλάχιστον 90 ημέρες για να διορθώσουμε την ευπάθεια πριν τη συζητήσετε ή τη δημοσιεύσετε δημόσια. Η ομάδα μας πιστεύει ότι οι ερευνητές ασφαλείας έχουν το δικαίωμα να αναφέρουν την έρευνά τους και ότι η αποκάλυψη είναι ιδιαίτερα ωφέλιμη, κατανοώντας ότι είναι ένα ιδιαίτερα υποκειμενικό ζήτημα το πότε και πώς να παρακρατήσουμε λεπτομέρειες για την αποφυγή κακής χρήσης της πληροφορίας. Αν πιστεύετε ότι απαιτείται νωρίτερη αποκάλυψη, ενημερώστε μας ώστε να ξεκινήσει ο σχετικός διάλογος.
Αρχείο Αλλαγών
Ενημερώνουμε δημόσια για όλα τα επιδιορθωμένα ζητήματα ασφαλείας μέσω του αρχείου αλλαγών . Τα θέματα ασφαλείας επισημαίνονται με την ετικέτα [Security].
