Vulnerabilitats i recompenses

Paguem recompenses per les vulnerabilitats o problemes relacionats amb la seguretat que es descobreixin. Per cobrar, cal que es compleixi el següent.

#1 La vulnerabilitat ha de ser única 
Si rebem diversos informes, el primer a informar-ne rebrà la recompensa. Podem pagar, a la nostra discreció, quantitats nominals per notificacions secundàries per fomentar descobriments futurs.

#2 La vulnerabilitat ha de ser reproduïble
No pagarem cap vulnerabilitat que no es pugui reproduir. No pagarem recompenses per vídeos de YouTube que mostrin una vulnerabilitat que no es pugui reproduir.

#3 Ha de tenir un escenari d'atac
L'atac ha de tenir capacitat de distribució a través dels nostres sistemes. Expliqueu la capacitat de distribució. Per exemple, aprofitar la nostra API i després escriure scripts maliciosos no comptaria, ja que no seria diferent d'escriure simplement una pàgina amb scripts maliciosos.
 

Com es determinen els imports de les recompenses

Cada categoria anterior té un interval de pagament. El lloc que ocupa un informe vàlid dins del seu interval depèn de tres factors:

Privilegi necessari per explotar-la. Els errors sense autenticació es situen a la part alta de l'interval. Els errors que requereixen un usuari autenticat es situen al mig. Els errors que requereixen un context privilegiat (administrador de l'equip, propietari de l'equip, pla de pagament, personal intern) es situen a la part baixa.

Abast de l'impacte. Les vulnerabilitats que afecten tots els usuaris o tots els mapes es paguen més que les que afecten un sol compte o un sol equip al qual l'atacant ja pertany.

Reversibilitat. Els danys que l'usuari afectat pot desfer mitjançant fluxos de treball normals (per exemple, un restabliment de contrasenya) es paguen menys que els danys que persisteixen o que requereixen la nostra intervenció per desfer-los.

La qualitat de l'informe també hi influeix. Una descripció clara amb una prova de concepte funcional, una anàlisi de la causa arrel i un suggeriment de correcció pot arribar a la part alta de l'interval, fins i tot quan l'impacte tècnic per si sol quedaria a mitja altura. Els informes descuidats o especulatius poden quedar a la part baixa.

Fora de l'abast

Els següents casos no donen dret a recompensa:

Mapes comunitaris anònims. Els mapes sense propietari que qualsevol pot editar són una funcionalitat comunitària de fa molt de temps. Desar sobre un mapa anònim no és una vulnerabilitat.

Mapes No llistat (URL com a credencial). Els mapes sense LockView són intencionadament accessibles a qualsevol persona que conegui la URL, de manera semblant a un vídeo no llistat de YouTube. Accedir a un mapa d'aquest tipus o desar-lo coneixent-ne el codi és per disseny.

Programari de tercers que allotgem però no mantenim. Problemes de GeoServer, Tomcat o d'altres piles de tercers desplegades juntament amb els nostres serveis. Informeu-ne els mantenidors corresponents.

Capçaleres de seguretat que falten sense un escenari d'atac concret. Els informes sobre CSP, X-Frame-Options, HSTS, etc. sense un exploit funcional no donen dret a recompensa.

Limitació de taxa de manera aïllada. L'absència de limitació de taxa en punts finals on no és crítica per a la seguretat, sense un escenari d'abús demostrat.

Ús d'IA

Fem servir la IA per fer una validació inicial de la triatge. De vegades comet errors; en fem revisions humanes de cadascun, però, si penseu que la IA ha comès un error greu inicialment, afegiu una nota a l'enviament amb més context, etc..compromise any

Ús de Burp / Punts finals

Fem servir eines com Burp per a escanejos ràpids. En general preferim que no feu aquests escanejos sobre nosaltres, ja que rebre milers de peticions només suposa una càrrega innecessària per als nostres servidors. 

Per estalviar-vos temps, aquí teniu alguns punts finals: 

https://www.scribblemaps.com/ 
(Si feu un escaneig, bloqueu la ruta /maps/, ja que enviarà els escàners a un cercle viciós) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Pagaments

No hi ha cap garantia sobre els terminis de pagament. Assignem un pressupost mensual, i els problemes greus sempre es paguen primer. Només fem pagaments mitjançant Wise o PayPal.
 

Pèrdua de la recompensa

Validar o acceptar un informe estableix l'elegibilitat per a una recompensa, no un dret incondicional a obtenir-la. ScribbleMaps pot reduir o retenir una recompensa totalment o parcialment quan la conducta d'un investigador vulnera aquests termes o els principis de la divulgació coordinada de bona fe. La pèrdua de la recompensa és a discreció de ScribbleMaps; el motiu es registra a l'informe i es comunica a l'investigador.

Una recompensa que d'altra manera seria pagadora es pot perdre per qualsevol dels motius següents:

1. Divulgació pública prematura o amenaçada. Divulgar la vulnerabilitat —o amenaçar de divulgar-la— públicament, a tercers o a través de canals mediàtics o de xarxes socials abans que ScribbleMaps hagi corregit el problema i n'hagi autoritzat la divulgació. La divulgació coordinada és una condició del programa.
2. Coacció, extorsió o asssetjament. Condicionar la no divulgació al pagament; amenaçar o pressionar el personal; o utilitzar els canals de suport, de facturació o de l'informant per exigir el pagament de manera repetida o abusiva. Les preguntes sobre l'estat de la recompensa s'han de fer a través del portal de recompenses, que ScribbleMaps respondrà.
3. Identitats múltiples o duplicades. Operar més d'un compte d'investigador, o dirigir les recompenses de comptes diferents a una adreça de pagament compartida, per inflar el volum d'enviaments o les recompenses.
4. Col·lusió o troballes fabricades. Coordinar enviaments entre comptes, utilitzar el compte o els mapes d'un altre participant com a «víctima» en una prova de concepte, o fabricar un estat de dades que el producte no pot produir i citar després aquestes dades com a filtració.
5. Brossa automatitzada o d'escàs esforç. Enviaments massius de sortides d'escàners automàtics, llistes de biblioteques obsoletes/CVE o elements coneguts fora de l'abast (vegeu Fora de l'abast) sense un exploit demostrat i específic de ScribbleMaps.
6. Proves perjudicials o il·legals. Accedir a dades d'altres usuaris, alterar-les o exfiltrar-les més enllà del mínim necessari per demostrar el problema; degradar o denegar el servei; fer enginyeria social al personal o als usuaris; o qualsevol activitat prohibida per l'abast del programa o per la legislació aplicable.
7. Tergiversació o frau. Falsificar els passos de reproducció, les proves, les dates de descobriment o la identitat.

Notes.

• La pèrdua de la recompensa pot ser parcial (una recompensa reduïda) o total ($0).
• Un informe validat que es perd per mala conducta no torna a ser elegible per a la mateixa troballa.
• Aquests termes s'apliquen des del moment de l'enviament i es tornen a enunciar a l'avís d'acceptació que s'envia quan s'accepta un informe.

Per enviar un informe

Visiteu: https://api.scribblemaps.com/vulnerabilities

El lloc també inclou instruccions sobre com enviar informes mitjançant IA. Cal iniciar la sessió per enviar un informe.

Aspectes legals

No podem concedir recompenses a persones que figurin en llistes de sancions, ni que es trobin en països (p. ex., Cuba, Iran, Corea del Nord, Sudan i Síria) que figurin en llistes de sancions. Sou responsables de les implicacions fiscals que pugui haver-hi segons el vostre país de residència i ciutadania. Pot haver-hi restriccions addicionals a la vostra capacitat de participar segons la legislació local.

Això no és un concurs, sinó un programa de recompenses experimental i discrecional. Heu d'entendre que podem cancel·lar el programa en qualsevol moment, i que la decisió de pagar o no una recompensa és completament a la nostra discreció.

Per descomptat, les vostres proves no poden infringir cap llei ni alterar ni comprometre cap dada que no sigui vostra.