Уразлівасці і ўзнагароды

Мы выплачваем узнагароды за выяўленыя ўразлівасці або праблемы, звязаныя з бяспекай. Каб атрымаць выплату, павінны быць выкананы наступныя ўмовы.

#1 Уразлівасць павінна быць унікальнай 
Калі мы атрымаем некалькі паведамленняў, узнагароду атрымае той, хто паведаміў першым. Мы можам па ўласным меркаванні выплаціць намінальныя выплаты за другасныя паведамленні, каб заахвоціць да будучых знаходак.

#2 Уразлівасць павінна ўзнаўляцца
Мы не будзем плаціць за ўразлівасць, якую немагчыма ўзнавіць. Мы не будзем выплачваць узнагароды за відэа на YouTube, якія дэманструюць уразлівасць, што не ўзнаўляецца.

#3 Павінен быць сцэнарый атакі
Атака павінна мець магчымасць распаўсюджвання праз нашы сістэмы. Калі ласка, апішыце магчымасць распаўсюджвання. Напрыклад, выкарыстанне нашага API і наступнае напісанне шкодных скрыптаў не лічыцца, бо гэта нічым не адрозніваецца ад простага напісання старонкі са шкоднымі скрыптамі.
 

Як вызначаюцца памеры ўзнагарод

Для кожнай катэгорыі вышэй існуе дыяпазон выплат. Дзе менавіта ў гэтым дыяпазоне апынецца сапраўднае паведамленне, залежыць ад трох фактараў:

Прывілеі, неабходныя для эксплуатацыі. Памылкі без аўтэнтыфікацыі апыняюцца ў верхняй частцы дыяпазону. Памылкі, якія патрабуюць аўтэнтыфікаванага карыстальніка, апыняюцца ў сярэдзіне. Памылкі, якія патрабуюць прывілеяванага кантэксту (адміністратар каманды, уладальнік каманды, платны план, унутраны супрацоўнік), апыняюцца ўнізе.

Маштаб наступстваў. Уразлівасці, якія закранаюць усіх карыстальнікаў або ўсе карты, аплачваюцца вышэй, чым уразлівасці, якія закранаюць адзін акаўнт або адну каманду, да якой зламыснік ужо належыць.

Адваротнасць. Шкода, якую пацярпелы карыстальнік можа адмяніць праз звычайныя працэдуры (напрыклад, скід пароля), аплачваецца ніжэй, чым шкода, якая захоўваецца або патрабуе нашага ўмяшання для адмены.

Якасць паведамлення таксама ўплывае. Чыткае апісанне з працуючым доказам канцэпцыі, аналізам асноўнай прычыны і прапановай па выпраўленні можа забяспечыць верхнюю частку дыяпазону, нават калі толькі па тэхнічным уздзеянні выплата апынулася б у сярэдзіне. Нядбайныя або спекулятыўныя паведамленні могуць атрымаць мінімум.

За межамі ахопу

Наступнае не мае права на ўзнагароду:

Ананімныя карты супольнасці. Карты без уладальніка, якія можа рэдагаваць любы, — даўняя функцыя супольнасці. Перазапіс ананімнай карты не з'яўляецца ўразлівасцю.

Карты Па спасылцы (URL як уліковыя даныя). Карты без LockView наўмысна даступныя любому, хто ведае URL, падобна да відэа на YouTube з доступам па спасылцы. Доступ да такой карты або яе захаванне праз веданне яе кода карты — гэта па задуме.

Праграмнае забеспячэнне трэціх бакоў, якое мы размяшчаем, але не суправаджаем. Праблемы ў GeoServer, Tomcat або іншых сістэмах трэціх бакоў, разгорнутых побач з нашымі сэрвісамі. Калі ласка, паведамляйце пра іх адпаведным распрацоўшчыкам.

Адсутнасць загалоўкаў бяспекі без канкрэтнага сцэнарыя атакі. Паведамленні пра CSP, X-Frame-Options, HSTS і г.д. без працуючага эксплоіта не маюць права на ўзнагароду.

Абмежаванне частаты запытаў у адзіночку. Адсутнасць абмежавання частаты запытаў на эндпойнтах, дзе яно не крытычна для бяспекі, без прадэманстраванага сцэнарыя злоўжывання.

Выкарыстанне ШІ

Мы выкарыстоўваем ШІ для першаснай праверкі пры сартаванні. Ён часам памыляецца; кожнае паведамленне мы правяраем уручную, аднак, калі вы лічыце, што ШІ дапусціў сур'ёзную памылку на пачатку, дадайце нататку да паведамлення з дадатковым кантэкстам і г.д.compromise any

Выкарыстанне Burp / Эндпойнты

Мы выкарыстоўваем такія інструменты, як burp, для хуткіх сканаванняў. Мы звычайна аддаем перавагу, каб вы не праводзілі такія сканаванні на нас, бо тысячы запытаў толькі стварае лішнюю нагрузку на нашы серверы. 

Каб зэканоміць ваш час, вось спіс эндпойнтаў: 

https://www.scribblemaps.com/ 
(Калі вы выконваеце сканаванне, заблакуйце шлях /maps/, бо гэта накіруе сканеры ў бясконцую нару) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Выплаты

Тэрмінаў выплат мы не гарантуем. Мы вылучаем штомесячны бюджэт, пры гэтым сур'ёзныя праблемы заўсёды аплачваюцца першымі. Выплаты мы робім толькі праз wise або paypal.
 

Пазбаўленне ўзнагароды

Праверка або прыняцце паведамлення ўсталёўвае права на ўзнагароду, а не безумоўнае права на яе атрыманне. ScribbleMaps можа паменшыць або ўтрымаць узнагароду цалкам або часткова, калі паводзіны даследчыка парушаюць гэтыя ўмовы або прынцыпы добрасумленнага каардынаванага раскрыцця. Пазбаўленне ўзнагароды адбываецца па меркаванні ScribbleMaps; прычына фіксуецца ў паведамленні і давядзена да даследчыка.

Узнагарода, якая інакш падлягала б выплаце, можа быць адменена па любой з наступных прычын:

1. Заўчаснае або пагражальнае публічнае раскрыццё. Раскрыццё ўразлівасці — або пагроза яе раскрыць — публічна, трэцім асобам або праз СМІ/сацыяльныя сеткі да таго, як ScribbleMaps выправіла праблему і дазволіла раскрыццё. Каардынаванае раскрыццё — умова праграмы.
2. Прымус, вымагальніцтва або пераследванне. Абумоўліванне захавання таямніцы выплатай; пагрозы або ціск на супрацоўнікаў; або выкарыстанне каналаў падтрымкі, выстаўлення рахункаў ці паведамляльніка для шматразовага або абразлівага патрабавання выплаты. Пытанні аб статусе ўзнагароды трэба задаваць праз партал узнагарод, на якія ScribbleMaps адкажа.
3. Некалькі або дублікатныя ідэнтычнасці. Выкарыстанне больш чым аднаго акаўнта даследчыка або накіраванне ўзнагарод розных акаўнтаў на агульны плацёжны адрас з мэтай павелічэння колькасці паведамленняў або ўзнагарод.
4. Змова або сфабрыкаваныя знаходкі. Каардынацыя паведамленняў паміж акаўнтамі, выкарыстанне акаўнта або карт іншага ўдзельніка як « achepaў» у доказе канцэпцыі або фабрыкацыя стану даных, які прадукт не можа ствараць, з наступнай спасылкай на атрыманыя даныя як на ўцечку.
5. Спам з нізкімі высілкамі або аўтаматызаваны спам. Масавыя паведамленні з вынікамі аўтаматычных сканераў, спісамі састарэлых бібліятэк/CVE або вядомымі пунктамі па-за ахопам (гл. За межамі ахопу) без прадэманстраванага эксплоіта, спецыфічнага для ScribbleMaps.
6. Шкоднае або незаконнае тэсціраванне. Доступ, змяненне або выманне даных іншых карыстальнікаў звыш мінімуму, неабходнага для дэманстрацыі праблемы; пагаршэнне або адмова ў абслугоўванні; сацыяльная інжынерыя супраць супрацоўнікаў або карыстальнікаў; або любая дзейнасць, забароненая ахопам праграмы або дзейным заканадаўствам.
7. Скажэнне фактаў або махлярства. Фальсіфікацыя крокаў узнаўлення, доказаў, дат выяўлення або асобы.

Нататкі.

• Пазбаўленне можа быць частковым (зніжаная ўзнагарода) або поўным ($0).
• Правераная справаздача, па якой узнагарода адменена за парушэнні, не можа быць зноў падана на тую ж знаходку.
• Гэтыя ўмовы дзейнічаюць з моманту падачы і паўтораны ў паведамленні аб прыняцці, якое адпраўляецца пры прыняцці справаздачы.

Каб адправіць паведамленне

Калі ласка, наведайце: https://api.scribblemaps.com/vulnerabilities

На сайце таксама ёсць інструкцыі па падачы паведамленняў праз ШІ. Каб падаць паведамленне, неабходна ўвайсці ў сістэму.

Юрыдычныя моманты

Мы не можам выдаваць узнагароды асобам, якія знаходзяцца ў санкцыйных спісах або ў краінах (напрыклад, Куба, Іран, Паўночная Карэя, Судан і Сірыя), што знаходзяцца ў санкцыйных спісах. Вы самі нясяце адказнасць за любыя падатковыя наступствы ў залежнасці ад краіны пражывання і грамадзянства. Могуць існаваць дадатковыя абмежаванні на ваша ўдзел у залежнасці ад мясцовага заканадаўства.

Гэта не конкурс, а эксперыментальная праграма ўзнагарод па ўласным меркаванні. Вы павінны разумець, што мы можам адмяніць праграму ў любы час, і рашэнне аб выплаце ўзнагароды цалкам застаецца на нашае ўзмацаванне.

Вядома, ваша тэсціраванне не павінна парушаць ніякага закона або парушаць ці кампраметаваць даныя, якія вам не належаць.