Vundeblecoj kaj Premioj

Ni pagas premiojn pro malkovritaj vundeblecoj aŭ sekurec-rilataj problemoj. Por esti pagita, la jenaj kondiĉoj devas esti plenumitaj.

#1 La vundebleco devas esti unika 
Se ni ricevas plurajn raportojn, la unua raportinto ricevos la premion. Ni povas, laŭ nia propra juĝo, pagi nominalajn duarangajn sciigajn kotizojn por instigi estontajn malkovrojn.

#2 La vundebleco devas esti reprodukteblа
Ni ne pagos pro iu ajn vundebleco, kiu ne povas esti reproduktita. Ni ne pagos premiojn pro YouTube-videoj, kiuj montras vundeblecon, kiu ne povas esti reproduktita.

#3 Devas ekzisti atakscenaro
La atako devas havi distribuan kapablon tra niaj sistemoj. Bonvolu klarigi la distribuan kapablon. Ekzemple, utiligi nian API kaj poste verki malicajn skriptojn ne validus, ĉar tio ne diferencus de simple verki paĝon kun malicaj skriptoj.
 

Kiel la premiaj sumoj estas determinataj

Ĉiu supra kategorio havas pagan amplekson. Kie en sia amplekso falas valida raporto dependas de tri faktoroj:

Privilegio postulata por ekspluati. Eraroj sen aŭtentigo falas ĉe la supro de la amplekso. Eraroj, kiuj postulas aŭtentigitan uzanton, falas en la mezo. Eraroj, kiuj postulas privilegian kuntekston (teama administranto, teama posedanto, pagita plano, interna personaro), falas ĉe la malsupro.

Amplekso de efiko. Vundeblecoj, kiuj tuŝas ĉiun uzanton aŭ ĉiun mapon, pagas pli ol vundeblecoj, kiuj tuŝas unu konton aŭ unu teamon, al kiu la atakanto jam apartenas.

Revertebleco. Damaĝo, kiun la tuŝita uzanto povas malfari per normalaj laborfluoj (ekzemple, pasvorta restarigo), pagas malpli ol damaĝo, kiu daŭras aŭ postulas nian intervenon por malfari.

Ankaŭ la kvalito de la raporto gravas. Klara verkaĵo kun funkcianta pruvo de koncepto, analizo de la radika kaŭzo kaj sugesto pri riparo povas gajni la supron de la amplekso, eĉ kiam la teknika efiko sola falus meze. Malzorgaj aŭ spekulativaj raportoj povas gajni la malsupron.

Ekster amplekso

La jenaj ne rajtas ricevi premion:

Anonimaj komunumaj mapoj. Mapoj sen posedanto, kiujn ĉiu povas redakti, estas delonga komunuma funkcio. Surskribi anoniman mapon ne estas vundebleco.

Nelistigitaj (URL-kiel-akreditaĵo) mapoj. Mapoj sen LockView estas intence alireblaj por ĉiu, kiu konas la URL, simile al nelistigita YouTube-video. Aliri aŭ konservi tian mapon sciante ĝian mapan kodon estas laŭdezajne.

Triaparta programaro, kiun ni gastigas sed ne prizorgas. Problemoj en GeoServer, Tomcat aŭ aliaj triapartaj stakoj deplojitaj kune kun niaj servoj. Bonvolu raporti tiujn al la respektivaj supraj prizorgantoj.

Mankantaj sekurecaj kapoj sen konkreta atakscenaro. Raportoj pri CSP, X-Frame-Options, HSTS ktp. sen funkcianta ekspluato ne rajtas ricevi premion.

Rapideca limigo izole. Manko de rapideca limigo ĉe finpunktoj, kie rapideca limigo ne estas sekurece kritika, sen pruvita misuza scenaro.

Uzo de AI

Ni utiligas AI por fari komencan validigon por la prioritatigo. Ĝi foje faras erarojn; ni faras homan revizion de ĉiu, tamen, se vi opinias, ke la AI faris grandan eraron komence, aldonu noton al la sendaĵo kun plia kunteksto ktp..compromise any

Uzo de Burp / Finpunktoj

Ni uzas ilojn kiel Burp por rapidaj skanadoj. Ni ĝenerale preferas, ke vi ne faru tiujn skanadojn kontraŭ ni, ĉar bombardi nin per miloj da petoj nur metas nenecesan ŝarĝon sur niajn servilojn. 

Por ŝpari al vi iom da tempo, jen kelkaj finpunktoj: 

https://www.scribblemaps.com/ 
(Se vi faras skanadon, blokigu la vojon /maps/, ĉar tio sendos skanilojn en kuniklotruon) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Pagoj

Ne ekzistas garantioj pri pagaj templinioj. Ni asignas monatan buĝeton, kie gravegaj problemoj ĉiam estas pagataj unue. Ni faras pagojn nur per Wise aŭ PayPal.
 

Perdo de Premio

Validigi aŭ akcepti raporton establas rajtecon ricevi rekompencon, ne senkondiĉan rajton al ĝi. ScribbleMaps povas redukti aŭ reteni premion tute aŭ parte, kiam la konduto de esploristo malobservas tiujn kondiĉojn aŭ la principojn de bonfida kunordigita malkaŝo. La perdo de premio estas laŭ la juĝo de ScribbleMaps; la kialo estas registrita en la raporto kaj komunikita al la esploristo.

Premio, kiu alie estus pagenda, povas esti perdita pro iu ajn el la jenaj:

1. Antaŭtempa aŭ minacata publika malkaŝo. Malkaŝi la vundeblecon — aŭ minaci malkaŝi ĝin — publike, al triaj partioj aŭ per amaskomunikilaj/sociaj kanaloj antaŭ ol ScribbleMaps riparis la problemon kaj rajtigis la malkaŝon. Kunordigita malkaŝo estas kondiĉo de la programo.
2. Devigo, ĉantaĝo aŭ ĉikanado. Kondiĉi nemalkaŝon al pago; minaci aŭ premi la personaron; aŭ uzi subtenajn, fakturajn aŭ raportintajn kanalojn por ripete aŭ perforte postuli pagon. Demandoj pri la stato de la rekompenco devas esti starigitaj tra la premia portalo, kiun ScribbleMaps respondos.
3. Multoblaj aŭ duoblaj identecoj. Funkciigi pli ol unu konton de esploristo, aŭ direkti rekompencojn de apartaj kontoj al komuna pagadreso, por pliigi la kvanton de sendaĵoj aŭ rekompencoj.
4. Koludo aŭ fabrikitaj trovaĵoj. Kunordigi sendaĵojn tra kontoj, uzi la konton aŭ mapojn de alia partoprenanto kiel la “viktimon” en pruvo de koncepto, aŭ fabriki datuman staton, kiun la produkto ne povas produkti, kaj poste citi la rezultintajn datumojn kiel likon.
5. Malmulteforta aŭ aŭtomata spamo. Amasaj sendaĵoj de aŭtomata skanila eligo, listoj de malmodernaj bibliotekoj/CVE aŭ konataj ekster-amplekso aĵoj (vidu Ekster amplekso) sen pruvita, ScribbleMaps-specifa ekspluato.
6. Damaĝa aŭ kontraŭleĝa testado. Aliri, ŝanĝi aŭ eltiri datumojn de aliaj uzantoj preter la minimumo necesa por pruvi la problemon; difekti aŭ rifuzi servon; socie manipuli personaron aŭ uzantojn; aŭ ajna agado malpermesita de la amplekso de la programo aŭ la aplikebla leĝo.
7. Misprezento aŭ fraŭdo. Falsi reproduktajn paŝojn, pruvojn, malkovrajn datojn aŭ identecon.

Notoj.

• La perdo de premio povas esti parta (reduktita rekompenco) aŭ plena ($0).
• Validigita raporto, kiu estas perdita pro miskonduto, ne rajtas denove ricevi premion pro la sama trovaĵo.
• Tiuj kondiĉoj validas ekde la momento de sendo kaj estas ripetitaj en la akceptsciigo sendita kiam raporto estas akceptita.

Por Sendi Raporton

Bonvolu viziti: https://api.scribblemaps.com/vulnerabilities

La retejo ankaŭ inkluzivas instrukciojn pri kiel sendi raportojn per AI. Vi devas ensaluti por sendi raporton.

Juraj punktoj

Ni ne povas doni rekompencojn al individuoj, kiuj estas en sankciaj listoj, aŭ kiuj estas en landoj (ekz. Kubo, Irano, Nord-Koreio, Sudano kaj Sirio) en sankciaj listoj. Vi respondecas pri ĉiuj impostaj implicoj depende de via lando de loĝado kaj civitaneco. Povas ekzisti pliaj limigoj pri via kapablo partopreni depende de via loka leĝo.

Ĉi tio ne estas konkurso, sed eksperimenta kaj laŭdiskreta rekompenca programo. Vi komprenu, ke ni povas nuligi la programon iam ajn, kaj la decido ĉu pagi rekompencon aŭ ne devas esti tute laŭ nia juĝo.

Kompreneble, via testado ne devas malobservi iun ajn leĝon, nek interrompi aŭ endanĝerigi iujn datumojn, kiuj ne estas viaj propraj.