দুর্বলতা এবং বাউন্টি

আবিষ্কৃত দুর্বলতা বা নিরাপত্তা-সংক্রান্ত সমস্যার জন্য আমরা বাউন্টি প্রদান করি। পারিশ্রমিক পেতে হলে নিচের শর্তগুলো অবশ্যই পূরণ করতে হবে।

#১ দুর্বলতাটি অবশ্যই অনন্য হতে হবে 
একাধিক রিপোর্ট পেলে, যিনি প্রথম রিপোর্ট করবেন তিনিই বাউন্টি পাবেন। ভবিষ্যতে আবিষ্কারে উৎসাহিত করতে আমরা আমাদের বিবেচনায় নামমাত্র দ্বিতীয় বিজ্ঞপ্তি ফি প্রদান করতে পারি।

#২ দুর্বলতাটি অবশ্যই পুনরুৎপাদনযোগ্য হতে হবে
যে দুর্বলতা পুনরুৎপাদন করা যায় না, তার জন্য আমরা কোনো অর্থ প্রদান করব না। যে দুর্বলতা পুনরুৎপাদন করা যায় না তা প্রদর্শনকারী YouTube ভিডিওর জন্যও আমরা বাউন্টি প্রদান করব না।

#৩ একটি আক্রমণের পরিস্থিতি থাকতে হবে
আক্রমণটির অবশ্যই আমাদের সিস্টেমের মাধ্যমে বিতরণের সক্ষমতা থাকতে হবে। অনুগ্রহ করে বিতরণের সক্ষমতা ব্যাখ্যা করুন। উদাহরণস্বরূপ, আমাদের API ব্যবহার করে ক্ষতিকর স্ক্রিপ্ট লেখা গণ্য হবে না, কারণ এটি ক্ষতিকর স্ক্রিপ্টসহ একটি পেজ লেখার চেয়ে আলাদা কিছু নয়।
 

বাউন্টির পরিমাণ কীভাবে নির্ধারিত হয়

উপরের প্রতিটি বিভাগের একটি করে পারিশ্রমিকের পরিসর আছে। একটি বৈধ রিপোর্ট সেই পরিসরের কোথায় পড়বে তা তিনটি বিষয়ের উপর নির্ভর করে:

কাজে লাগানোর জন্য প্রয়োজনীয় অধিকার। প্রমাণীকরণ ছাড়া কাজে লাগানো যায় এমন বাগ পরিসরের শীর্ষে পড়ে। প্রমাণীকৃত ব্যবহারকারী প্রয়োজন এমন বাগ মাঝের দিকে পড়ে। বিশেষ অধিকারপ্রাপ্ত প্রেক্ষাপট (টিম অ্যাডমিন, টিম মালিক, পেইড প্ল্যান, অভ্যন্তরীণ কর্মী) প্রয়োজন এমন বাগ নিচের দিকে পড়ে।

প্রভাবের পরিধি। যে দুর্বলতা প্রতিটি ব্যবহারকারী বা প্রতিটি মানচিত্রকে প্রভাবিত করে, তার জন্য একটি মাত্র অ্যাকাউন্ট বা আক্রমণকারী ইতিমধ্যে যে টিমের সদস্য সেই একটি টিমকে প্রভাবিত করা দুর্বলতার চেয়ে বেশি অর্থ দেওয়া হয়।

প্রত্যাবর্তনযোগ্যতা। ক্ষতিগ্রস্ত ব্যবহারকারী স্বাভাবিক কর্মপ্রবাহের মাধ্যমে (যেমন পাসওয়ার্ড রিসেট) যে ক্ষতি ফিরিয়ে আনতে পারেন, তার জন্য কম অর্থ দেওয়া হয়; যে ক্ষতি স্থায়ী হয় বা ফিরিয়ে আনতে আমাদের হস্তক্ষেপ প্রয়োজন হয়, তার জন্য বেশি দেওয়া হয়।

রিপোর্টের মানও বিবেচনায় আসে। কার্যকর প্রুফ অফ কনসেপ্ট, মূল কারণের বিশ্লেষণ এবং সমাধানের পরামর্শসহ একটি স্পষ্ট লেখা কেবল প্রযুক্তিগত প্রভাবে মাঝারি পরিসরে পড়লেও পরিসরের শীর্ষে পৌঁছাতে পারে। অগোছালো বা অনুমানভিত্তিক রিপোর্ট নিচের দিকে পড়তে পারে।

পরিধির বাইরে

নিচের বিষয়গুলো বাউন্টির জন্য যোগ্য নয়:

বেনামি কমিউনিটি মানচিত্র। মালিকবিহীন এবং যে কেউ সম্পাদনা করতে পারে এমন মানচিত্র একটি দীর্ঘদিনের কমিউনিটি বৈশিষ্ট্য। বেনামি মানচিত্রের উপর সংরক্ষণ করা কোনো দুর্বলতা নয়।

আনলিস্টেড (URL-ই পরিচয়পত্র) মানচিত্র। LockView ছাড়া মানচিত্রগুলো ইচ্ছাকৃতভাবে URL জানা যে কারও জন্য অ্যাক্সেসযোগ্য, অনেকটা আনলিস্টেড YouTube ভিডিওর মতো। মানচিত্র কোড জেনে এমন মানচিত্র অ্যাক্সেস বা সংরক্ষণ করা নকশাগতভাবেই অনুমোদিত।

আমরা হোস্ট করি কিন্তু রক্ষণাবেক্ষণ করি না এমন তৃতীয় পক্ষের সফটওয়্যার। আমাদের সেবার পাশাপাশি স্থাপিত GeoServer, Tomcat বা অন্যান্য তৃতীয় পক্ষের স্ট্যাকের সমস্যা। অনুগ্রহ করে এগুলো সংশ্লিষ্ট আপস্ট্রিম রক্ষণাবেক্ষণকারীদের কাছে রিপোর্ট করুন।

সুনির্দিষ্ট আক্রমণ পরিস্থিতি ছাড়া নিরাপত্তা হেডারের অনুপস্থিতি। কার্যকর এক্সপ্লয়েট ছাড়া CSP, X-Frame-Options, HSTS ইত্যাদি সম্পর্কিত রিপোর্ট যোগ্য নয়।

বিচ্ছিন্নভাবে রেট লিমিটিং। যেসব এন্ডপয়েন্টে রেট লিমিটিং নিরাপত্তার জন্য গুরুত্বপূর্ণ নয়, সেখানে অপব্যবহারের কোনো প্রমাণিত পরিস্থিতি ছাড়া রেট লিমিটিংয়ের অভাব।

AI-এর ব্যবহার

ট্রায়াজের জন্য প্রাথমিক যাচাই করতে আমরা AI ব্যবহার করি। এটি কখনও কখনও ভুল করে; আমরা প্রতিটি রিপোর্ট মানুষ দ্বারা পর্যালোচনা করি। তবে আপনি যদি মনে করেন AI শুরুতে বড় কোনো ভুল করেছে, তাহলে অতিরিক্ত প্রেক্ষাপটসহ জমা দেওয়া রিপোর্টে একটি নোট যোগ করুন।

Burp-এর ব্যবহার / এন্ডপয়েন্টসমূহ

দ্রুত স্ক্যানের জন্য আমরা Burp-এর মতো টুল ব্যবহার করি। আমরা সাধারণত চাই আপনি আমাদের উপর এসব স্ক্যান না চালান, কারণ হাজার হাজার রিকোয়েস্ট পাঠালে আমাদের সার্ভারের উপর অকারণ চাপ পড়ে। 

আপনার কিছু সময় বাঁচাতে এখানে কিছু এন্ডপয়েন্ট দেওয়া হলো: 

https://www.scribblemaps.com/ 
(স্ক্যান করলে /maps/ পাথ ব্লক করুন, কারণ এটি স্ক্যানারদের অন্তহীন গোলকধাঁধায় ফেলে দেবে) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

পেমেন্ট

পেমেন্টের সময়সীমার কোনো নিশ্চয়তা নেই। আমরা মাসিক বাজেট বরাদ্দ করি, এবং গুরুতর সমস্যাগুলো সবসময় আগে পরিশোধ করা হয়। আমরা কেবল Wise বা PayPal-এর মাধ্যমে পেমেন্ট করি।
 

বাউন্টি বাজেয়াপ্তকরণ

কোনো রিপোর্ট যাচাই বা গ্রহণ করা পুরস্কারের জন্য যোগ্যতা প্রতিষ্ঠা করে, শর্তহীন অধিকার নয়। কোনো গবেষকের আচরণ এই শর্তাবলী বা সদিচ্ছাপূর্ণ সমন্বিত প্রকাশের নীতি লঙ্ঘন করলে ScribbleMaps বাউন্টি সম্পূর্ণ বা আংশিকভাবে কমাতে বা আটকে রাখতে পারে। বাজেয়াপ্তকরণ ScribbleMaps-এর বিবেচনাধীন; কারণটি রিপোর্টে নথিভুক্ত করা হয় এবং গবেষকের কাছে জানানো হয়।

অন্যথায় প্রদেয় একটি বাউন্টি নিচের যেকোনো কারণে বাজেয়াপ্ত হতে পারে:

1. অকালিক বা হুমকিমূলক প্রকাশ্য প্রকাশ। ScribbleMaps সমস্যাটির সমাধান করার এবং প্রকাশের অনুমোদন দেওয়ার আগে দুর্বলতাটি প্রকাশ্যে, তৃতীয় পক্ষের কাছে, বা মিডিয়া/সামাজিক মাধ্যমে প্রকাশ করা — অথবা প্রকাশ করার হুমকি দেওয়া। সমন্বিত প্রকাশ এই প্রোগ্রামের একটি শর্ত।
2. জবরদস্তি, চাঁদাবাজি বা হয়রানি। অর্থ প্রদানের বিনিময়ে প্রকাশ না করার শর্ত দেওয়া; কর্মীদের হুমকি দেওয়া বা চাপ দেওয়া; অথবা পেমেন্টের দাবি বারবার বা অপমানজনকভাবে জানাতে সাপোর্ট, বিলিং বা রিপোর্টার চ্যানেল ব্যবহার করা। পুরস্কারের অবস্থা সম্পর্কে প্রশ্ন বাউন্টি পোর্টালের মাধ্যমে তোলা উচিত, যার উত্তর ScribbleMaps দেবে।
3. একাধিক বা ডুপ্লিকেট পরিচয়। জমা দেওয়ার সংখ্যা বা পুরস্কার বাড়াতে একাধিক গবেষক অ্যাকাউন্ট পরিচালনা করা, অথবা আলাদা অ্যাকাউন্টের পুরস্কার একটি অভিন্ন পেমেন্ট ঠিকানায় পাঠানো।
4. যোগসাজশ বা বানোয়াট ফলাফল। একাধিক অ্যাকাউন্টের মধ্যে সমন্বয় করে রিপোর্ট জমা দেওয়া, প্রুফ অফ কনসেপ্টে অন্য অংশগ্রহণকারীর অ্যাকাউন্ট বা মানচিত্রকে “ভিকটিম” হিসেবে ব্যবহার করা, অথবা পণ্যটি তৈরি করতে পারে না এমন একটি ডেটা অবস্থা বানিয়ে তারপর সেই ডেটাকে ফাঁস হিসেবে উল্লেখ করা।
5. স্বল্প-প্রচেষ্টার বা স্বয়ংক্রিয় স্প্যাম। ScribbleMaps-নির্দিষ্ট কোনো প্রমাণিত এক্সপ্লয়েট ছাড়া স্বয়ংক্রিয় স্ক্যানার আউটপুট, পুরোনো লাইব্রেরি/CVE তালিকা, বা পরিচিত পরিধি-বহির্ভূত বিষয়ের (দেখুন পরিধির বাইরে) বাল্ক জমা।
6. ক্ষতিকর বা বেআইনি পরীক্ষা। সমস্যাটি প্রদর্শনের জন্য প্রয়োজনীয় ন্যূনতম পরিমাণের বাইরে অন্য ব্যবহারকারীদের ডেটা অ্যাক্সেস, পরিবর্তন বা বের করে নেওয়া; সেবা ব্যাহত বা অকার্যকর করা; কর্মী বা ব্যবহারকারীদের উপর সোশ্যাল ইঞ্জিনিয়ারিং; অথবা প্রোগ্রামের পরিধি বা প্রযোজ্য আইন দ্বারা নিষিদ্ধ যেকোনো কার্যকলাপ।
7. মিথ্যা উপস্থাপন বা প্রতারণা। পুনরুৎপাদনের ধাপ, প্রমাণ, আবিষ্কারের তারিখ বা পরিচয় জাল করা।

নোট।

• বাজেয়াপ্তকরণ আংশিক (কমানো পুরস্কার) বা সম্পূর্ণ ($0) হতে পারে।
• অসদাচরণের কারণে বাজেয়াপ্ত হওয়া একটি যাচাইকৃত রিপোর্ট একই আবিষ্কারের জন্য পুনরায় যোগ্য হয় না।
• এই শর্তাবলী জমা দেওয়ার মুহূর্ত থেকে প্রযোজ্য এবং কোনো রিপোর্ট গৃহীত হলে পাঠানো গ্রহণ-বিজ্ঞপ্তিতে পুনরায় উল্লেখ করা হয়।

রিপোর্ট জমা দিতে

অনুগ্রহ করে দেখুন: https://api.scribblemaps.com/vulnerabilities

সাইটটিতে AI-এর মাধ্যমে রিপোর্ট জমা দেওয়ার নির্দেশনাও রয়েছে। রিপোর্ট জমা দিতে আপনাকে অবশ্যই লগ ইন করতে হবে।

আইনি বিষয়

নিষেধাজ্ঞার তালিকায় থাকা ব্যক্তিদের, অথবা নিষেধাজ্ঞার তালিকায় থাকা দেশের (যেমন কিউবা, ইরান, উত্তর কোরিয়া, সুদান ও সিরিয়া) ব্যক্তিদের আমরা পুরস্কার দিতে পারি না। আপনার বসবাসের দেশ ও নাগরিকত্ব অনুযায়ী যেকোনো কর-সংক্রান্ত প্রভাবের দায়িত্ব আপনার। আপনার স্থানীয় আইন অনুযায়ী অংশগ্রহণের ক্ষেত্রে অতিরিক্ত বিধিনিষেধ থাকতে পারে।

এটি কোনো প্রতিযোগিতা নয়, বরং একটি পরীক্ষামূলক ও বিবেচনাভিত্তিক পুরস্কার কর্মসূচি। আপনার বোঝা উচিত যে আমরা যেকোনো সময় কর্মসূচিটি বাতিল করতে পারি, এবং পুরস্কার দেওয়া হবে কি না সে সিদ্ধান্ত সম্পূর্ণভাবে আমাদের বিবেচনাধীন।

অবশ্যই, আপনার পরীক্ষা কোনো আইন লঙ্ঘন করবে না, এবং আপনার নিজের নয় এমন কোনো ডেটা ব্যাহত বা ক্ষতিগ্রস্ত করবে না।