Ευπάθειες και Αμοιβές

Καταβάλλουμε αμοιβές για ευπάθειες που ανακαλύπτονται ή για ζητήματα που σχετίζονται με την ασφάλεια. Για να πληρωθείτε, πρέπει να ισχύουν τα ακόλουθα.

#1 Η ευπάθεια πρέπει να είναι μοναδική 
Εάν λάβουμε πολλαπλές αναφορές, ο πρώτος που θα την αναφέρει θα λάβει την αμοιβή. Ενδέχεται να καταβάλουμε, κατά τη διακριτική μας ευχέρεια, συμβολικά δευτερεύοντα τέλη ειδοποίησης για να ενθαρρύνουμε μελλοντικές ανακαλύψεις.

#2 Η ευπάθεια πρέπει να είναι αναπαραγώγιμη
Δεν θα πληρώσουμε για καμία ευπάθεια που δεν μπορεί να αναπαραχθεί. Δεν θα καταβάλουμε αμοιβές για βίντεο στο YouTube που παρουσιάζουν μια ευπάθεια η οποία δεν μπορεί να αναπαραχθεί.

#3 Πρέπει να υπάρχει σενάριο επίθεσης
Η επίθεση πρέπει να έχει δυνατότητα διανομής μέσω των δικών μας συστημάτων. Παρακαλούμε εξηγήστε τη δυνατότητα διανομής. Για παράδειγμα, η εκμετάλλευση του API μας και στη συνέχεια η συγγραφή κακόβουλων σεναρίων δεν θα μετρούσε, καθώς αυτό δεν θα διέφερε από τη συγγραφή μιας σελίδας με κακόβουλα σενάρια.
 

Πώς καθορίζονται τα ποσά των αμοιβών

Κάθε κατηγορία παραπάνω έχει ένα εύρος πληρωμής. Το πού θα κυμανθεί μια έγκυρη αναφορά εντός του εύρους της εξαρτάται από τρεις παράγοντες:

Απαιτούμενα προνόμια για εκμετάλλευση. Τα σφάλματα που δεν απαιτούν ταυτοποίηση (unauthenticated) βρίσκονται στην κορυφή του εύρους. Τα σφάλματα που απαιτούν ταυτοποιημένο χρήστη βρίσκονται στη μέση. Τα σφάλματα που απαιτούν προνομιακό πλαίσιο (team admin, team owner, paid plan, εσωτερικό προσωπικό) βρίσκονται στο κάτω μέρος.

Ακτίνα επιρροής (Blast radius). Οι ευπάθειες που επηρεάζουν κάθε χρήστη ή κάθε χάρτη πληρώνουν περισσότερο από τις ευπάθειες που επηρεάζουν έναν μόνο λογαριασμό ή μια ομάδα στην οποία ανήκει ήδη ο επιτιθέμενος.

Αναστρεψιμότητα. Η ζημιά που μπορεί να αναιρέσει ο επηρεαζόμενος χρήστης μέσω κανονικών ροών εργασίας (για παράδειγμα, επαναφορά κωδικού πρόσβασης) πληρώνει λιγότερο από τη ζημιά που επιμένει ή που απαιτεί τη δική μας παρέμβαση για να αναιρεθεί.

Η ποιότητα της αναφοράς παίζει επίσης ρόλο. Μια σαφής περιγραφή με ένα λειτουργικό proof of concept, ανάλυση βαθύτερης αιτίας (root-cause analysis) και μια πρόταση αποκατάστασης μπορεί να κερδίσει την κορυφή του εύρους, ακόμη και όταν ο τεχνικός αντίκτυπος από μόνος του θα την κατέτασσε στο μέσο του εύρους. Οι πρόχειρες ή υποθετικές αναφορές ενδέχεται να λάβουν το χαμηλότερο ποσό.

Εκτός πεδίου εφαρμογής

Τα ακόλουθα δεν είναι επιλέξιμα για αμοιβή:

Ανώνυμοι κοινοτικοί χάρτες. Οι χάρτες χωρίς ιδιοκτήτη που είναι επεξεργάσιμοι από οποιονδήποτε είναι μια μακροχρόνια λειτουργία της κοινότητας. Η αποθήκευση πάνω από έναν ανώνυμο χάρτη δεν αποτελεί ευπάθεια.

Μη καταχωρισμένοι χάρτες (URL-as-credential). Οι χάρτες χωρίς LockView είναι σκόπιμα προσβάσιμοι σε οποιονδήποτε γνωρίζει τη διεύθυνση URL, παρόμοια με ένα μη καταχωρισμένο βίντεο στο YouTube. Η πρόσβαση ή η αποθήκευση ενός τέτοιου χάρτη γνωρίζοντας τον κωδικό του χάρτη γίνεται βάσει σχεδιασμού.

Λογισμικό τρίτων που φιλοξενούμε αλλά δεν συντηρούμε. Ζητήματα στο GeoServer, στο Tomcat ή σε άλλες στοίβες τρίτων που αναπτύσσονται παράλληλα με τις υπηρεσίες μας. Παρακαλούμε αναφέρετε αυτά στους αντίστοιχους υπεύθυνους συντήρησης.

Ελλείπουσες κεφαλίδες ασφαλείας χωρίς συγκεκριμένο σενάριο επίθεσης. Αναφορές σχετικά με CSP, X-Frame-Options, HSTS κ.λπ. χωρίς λειτουργικό exploit δεν είναι επιλέξιμες.

Περιορισμός ρυθμού (Rate limiting) μεμονωμένα. Έλλειψη περιορισμού ρυθμού σε τελικά σημεία (endpoints) όπου ο περιορισμός ρυθμού δεν είναι κρίσιμος για την ασφάλεια, χωρίς αποδεδειγμένο σενάριο κατάχρησης.

Χρήση AI

Χρησιμοποιούμε AI για την αρχική επικύρωση και διαλογή (triaging). Μερικές φορές κάνει λάθη, κάνουμε ανθρώπινη αξιολόγηση σε κάθε μία αναφορά, ωστόσο, εάν πιστεύετε ότι το AI έχει κάνει ένα μεγάλο λάθος αρχικά, προσθέστε μια σημείωση στην υποβολή με περισσότερες πληροφορίες κ.λπ..θέσετε σε κίνδυνο οποιοδήποτε

Χρήση Burp / Τελικά Σημεία (Endpoints)

Χρησιμοποιούμε εργαλεία όπως το burp για γρήγορες σαρώσεις. Γενικά προτιμούμε να μην κάνετε αυτές τις σαρώσεις σε εμάς, καθώς η αποστολή χιλιάδων αιτημάτων επιβαρύνει άσκοπα τους διακομιστές μας. 

Για να σας εξοικονομήσουμε χρόνο, ορίστε μερικά τελικά σημεία (endpoints): 

https://www.scribblemaps.com/ 
(Εάν κάνετε σάρωση, αποκλείστε τη διαδρομή /maps/ καθώς αυτό θα στείλει τους σαρωτές σε αδιέξοδο) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Πληρωμές

Δεν υπάρχουν εγγυήσεις για τα χρονοδιαγράμματα πληρωμών. Διαθέτουμε έναν μηνιαίο προϋπολογισμό, με τα σοβαρά ζητήματα να πληρώνονται πάντα πρώτα. Πραγματοποιούμε πληρωμές μόνο μέσω wise ή paypal.
 

Απώλεια Δικαιώματος Αμοιβής

Η επικύρωση ή η αποδοχή μιας αναφοράς καθορίζει την επιλεξιμότητα για μια ανταμοιβή, όχι ένα ανεπιφύλακτο δικαίωμα σε αυτήν. Το ScribbleMaps μπορεί να μειώσει ή να παρακρατήσει μια αμοιβή εν όλω ή εν μέρει όταν η συμπεριφορά ενός ερευνητή παραβιάζει αυτούς τους όρους ή τις αρχές της καλόπιστης συντονισμένης αποκάλυψης. Η απώλεια δικαιώματος εναπόκειται στη διακριτική ευχέρεια του ScribbleMaps. Η αιτία καταγράφεται στην αναφορά και κοινοποιείται στον ερευνητή.

Μια αμοιβή που διαφορετικά θα ήταν καταβλητέα μπορεί να χαθεί για οποιονδήποτε από τους ακόλουθους λόγους:

1. Πρόωρη ή απειλούμενη δημόσια αποκάλυψη. Η αποκάλυψη της ευπάθειας — ή η απειλή αποκάλυψής της — δημόσια, σε τρίτους ή μέσω μέσων ενημέρωσης/κοινωνικών δικτύων προτού το ScribbleMaps αποκαταστήσει το ζήτημα και εξουσιοδοτήσει την αποκάλυψη. Η συντονισμένη αποκάλυψη αποτελεί προϋπόθεση του προγράμματος.
2. Εξαναγκασμός, εκβιασμός ή παρενόχληση. Η εξάρτηση της μη αποκάλυψης από την πληρωμή, η απειλή ή η άσκηση πίεσης στο προσωπικό, ή η χρήση καναλιών υποστήριξης, χρέωσης ή αναφοράς για επανειλημμένη ή καταχρηστική απαίτηση πληρωμής. Οι ερωτήσεις σχετικά με την κατάσταση της ανταμοιβής θα πρέπει να υποβάλλονται μέσω της πύλης αμοιβών (bounty portal), τις οποίες το ScribbleMaps θα απαντά.
3. Πολλαπλές ή διπλές ταυτότητες. Η λειτουργία περισσότερων από έναν λογαριασμών ερευνητή ή η δρομολόγηση ανταμοιβών για ξεχωριστούς λογαριασμούς σε μια κοινή διεύθυνση πληρωμής, με σκοπό τη διόγκωση του όγκου των υποβολών ή των ανταμοιβών.
4. Συνεννόηση ή κατασκευασμένα ευρήματα. Ο συντονισμός υποβολών μεταξύ λογαριασμών, η χρήση του λογαριασμού ή των χαρτών άλλου συμμετέχοντος ως «θύματος» σε ένα proof of concept, ή η κατασκευή μιας κατάστασης δεδομένων που το προϊόν δεν μπορεί να παράγει και στη συνέχεια η αναφορά των προκυπτόντων δεδομένων ως διαρροή.
5. Χαμηλής προσπάθειας ή αυτοματοποιημένο spam. Μαζικές υποβολές αποτελεσμάτων αυτοματοποιημένων σαρωτών, λιστών παρωχημένων βιβλιοθηκών/CVE ή γνωστών στοιχείων εκτός πεδίου εφαρμογής (βλ. Εκτός πεδίου εφαρμογής) χωρίς αποδεδειγμένο exploit ειδικά για το ScribbleMaps.
6. Επιβλαβής ή παράνομη δοκιμή. Η πρόσβαση, η τροποποίηση ή η εξαγωγή δεδομένων άλλων χρηστών πέρα από το ελάχιστο απαραίτητο για την απόδειξη του ζητήματος, η υποβάθμιση ή η άρνηση παροχής υπηρεσιών, η κοινωνική μηχανική σε προσωπικό ή χρήστες, ή οποιαδήποτε δραστηριότητα που απαγορεύεται από το πεδίο εφαρμογής του προγράμματος ή την ισχύουσα νομοθεσία.
7. Ψευδής δήλωση ή απάτη. Η παραποίηση των βημάτων αναπαραγωγής, των αποδεικτικών στοιχείων, των ημερομηνιών ανακάλυψης ή της ταυτότητας.

Σημειώσεις.

• Η απώλεια δικαιώματος μπορεί να είναι μερική (μειωμένη ανταμοιβή) ή πλήρης ($0).
• Μια επικυρωμένη αναφορά που χάνεται λόγω κακής συμπεριφοράς δεν είναι εκ νέου επιλέξιμη για το ίδιο εύρημα.
• Αυτοί οι όροι ισχύουν από τη στιγμή της υποβολής και επαναλαμβάνονται στην ειδοποίηση αποδοχής που αποστέλλεται όταν μια αναφορά γίνεται αποδεκτή.

Για να υποβάλετε μια αναφορά

Παρακαλούμε επισκεφθείτε: https://api.scribblemaps.com/vulnerabilities

Ο ιστότοπος περιλαμβάνει επίσης οδηγίες σχετικά με τον τρόπο υποβολής αναφορών μέσω AI. Πρέπει να συνδεθείτε για να υποβάλετε μια αναφορά.

Νομικά ζητήματα

Δεν είμαστε σε θέση να εκδώσουμε ανταμοιβές σε άτομα που βρίσκονται σε λίστες κυρώσεων ή που βρίσκονται σε χώρες (π.χ. Κούβα, Ιράν, Βόρεια Κορέα, Σουδάν και Συρία) που βρίσκονται σε λίστες κυρώσεων. Είστε υπεύθυνοι για τυχόν φορολογικές επιπτώσεις ανάλογα με τη χώρα διαμονής και την υπηκοότητά σας. Ενδέχεται να υπάρχουν πρόσθετοι περιορισμοί στη δυνατότητα συμμετοχής σας ανάλογα με την τοπική σας νομοθεσία.

Αυτό δεν είναι ένας διαγωνισμός, αλλά μάλλον ένα πειραματικό πρόγραμμα ανταμοιβών κατά τη διακριτική μας ευχέρεια. Θα πρέπει να κατανοήσετε ότι μπορούμε να ακυρώσουμε το πρόγραμμα ανά πάσα στιγμή, και η απόφαση για το αν θα καταβληθεί ή όχι μια ανταμοιβή εναπόκειται εξ ολοκλήρου στη διακριτική μας ευχέρεια.

Φυσικά, οι δοκιμές σας δεν πρέπει να παραβιάζουν κανέναν νόμο, ούτε να διαταράσσουν ή να θέτουν σε κίνδυνο δεδομένα που δεν είναι δικά σας.