Programma di divulgazione delle vulnerabilità

Linee guida per una divulgazione responsabile

Per mantenere un ambiente costruttivo per la ricerca sulla sicurezza, vi chiediamo di seguire queste linee guida quando conducete una ricerca:

• Non intraprendere alcuna forma di attacco Denial of Service (DoS) contro applicazioni, server, reti o infrastrutture byrd.
• Evitare test che possano causare il degrado o l'interruzione dei nostri servizi.
• Se si utilizzano scanner o strumenti automatici, assicurarsi che funzionino in modo da non generare un traffico di rete eccessivo (ad esempio, limitare le richieste a un massimo di una al secondo).
• Astenersi dal divulgare, alterare o cancellare i dati o i file degli utenti all'interno delle nostre applicazioni o dei nostri server.
• Non accedere o divulgare alcun file dalle nostre applicazioni o dai nostri server.
• Non è consentita alcuna forma di divulgazione di vulnerabilità, sia essa completa, parziale o di altro tipo.
• Evitate di inviare spam attraverso i moduli di registrazione sui nostri siti web, compreso il portale di assistenza.
• Utilizzare l'user-agent "VDP name-at-email-dot-com" in tutte le richieste basate sul web.

Guida

I ricercatori di sicurezza devono:

• Accedere solo alla quantità minima di dati necessaria. Ad esempio, 2 o 3 record dovrebbero essere sufficienti per dimostrare la maggior parte delle vulnerabilità, come una vulnerabilità di enumerazione o di riferimento diretto a un oggetto.
• Evitate di utilizzare strumenti di scansione tecnica della sicurezza ad alta intensità, invasivi o distruttivi, per scoprire le vulnerabilità.
• Rispettare la privacy degli utenti, del personale, degli appaltatori, dei servizi o dei sistemi di Byrd. Ad esempio, non condividete, ridistribuite o non proteggete adeguatamente i dati ottenuti dai nostri sistemi o servizi.
• Non comunicare le vulnerabilità o i dettagli associati attraverso metodi non indicati in questa politica.
• Non alterare i dati dei sistemi o dei servizi Byrd.
• Non interrompere i servizi o i sistemi Byrd.
• Evitate di intraprendere attacchi di ingegneria sociale, di "phishing" o attacchi fisici contro il personale o l'infrastruttura del Byrd.
• Non divulgare a terzi o al pubblico alcuna vulnerabilità nei sistemi o nei servizi Byrd prima che Byrd abbia confermato che tali vulnerabilità sono state affrontate o corrette. Ciò non impedisce di notificare una vulnerabilità a terzi per i quali la vulnerabilità è direttamente rilevante, ad esempio quando la vulnerabilità è in una libreria o in un framework software di terzi. Tuttavia, in tali segnalazioni non è possibile fare riferimento a dettagli specifici della vulnerabilità che riguardano Byrd.
• Non chiedere compensi economici per la divulgazione di eventuali vulnerabilità.
• Eliminare in modo sicuro tutti i dati recuperati durante la ricerca non appena non sono più necessari o entro 1 mese dalla risoluzione della vulnerabilità, a seconda di quale delle due condizioni si verifichi per prima.