Ahultasunak eta sariak

Aurkitutako ahultasunengatik edo segurtasunarekin lotutako arazoengatik sariak ordaintzen ditugu. Ordaintzeko, honako hauek bete behar dira.

#1 Ahultasunak bakarra izan behar du 
Hainbat txosten jasotzen baditugu, lehenengo jakinarazten duenak jasoko du saria. Geure eskuduntzaz, bigarren mailako jakinarazpen-ordainsari sinbolikoak ordain ditzakegu, etorkizuneko aurkikuntzak sustatzeko.

#2 Ahultasuna erreproduzigarria izan behar da
Ez dugu ordainduko erreproduzitu ezin den ahultasunik. Ez dugu sariak ordainduko erreproduzitu ezin den ahultasun bat erakusten duten YouTube bideoengatik.

#3 Eraso-agertokia izan behar du
Erasoak gure sistemen bidez hedatzeko gaitasuna izan behar du. Mesedez, azaldu hedatzeko gaitasuna. Adibidez, gure API baliatu eta script maliziosoak idaztea ez litzateke zenbatuko, ez bailitzateke izango script maliziosoak dituen orri bat idaztea baino desberdina.
 

Sari-zenbatekoak nola zehazten diren

Goiko kategoria bakoitzak ordainketa-tarte bat du. Txosten balioduna tarte horren barruan non kokatzen den hiru faktoreren araberakoa da:

Ustiatzeko behar den pribilegioa. Autentifikaziorik behar ez duten akatsak tartearen goialdean kokatzen dira. Erabiltzaile autentifikatua behar duten akatsak erdian. Testuinguru pribilegiatua behar duten akatsak (taldeko administratzailea, taldeko jabea, ordainpeko plana, barne-langileak) behealdean.

Eragin-eremua. Erabiltzaile guztiei edo mapa guztiei eragiten dieten ahultasunek kontu bakar bati edo erasotzailea dagoeneko kide den talde bakar bati eragiten dioten ahultasunek baino gehiago ordaintzen dute.

Itzulgarritasuna. Eragindako erabiltzaileak ohiko prozeduren bidez desegin dezakeen kalteak (adibidez, pasahitza berrezartzea) iraunkorra den edo gure esku-hartzea behar duen kalteak baino gutxiago ordaintzen du.

Txostenaren kalitateak ere eragiten du. Froga-kontzeptu funtzionala, jatorrizko kausaren azterketa eta konponketa-iradokizuna dituen idazki argi batek tartearen goialdea irabaz dezake, inpaktu teknikoak bakarrik tarte ertaina ekarriko lukeen kasuetan ere. Txosten lauso edo espekulatiboek behealdea irabaz dezakete.

Irismenetik kanpo

Hauek ez dira sarirako egokiak:

Komunitateko mapa anonimoak. Jaberirik gabeko eta edonork edita ditzakeen mapak aspaldiko komunitate-eginbide bat dira. Mapa anonimo baten gainean gordetzea ez da ahultasuna.

Zerrendatu gabea (URLa kredentzial gisa) mapak. LockView gabeko mapak nahita daude URLa ezagutzen duen edonorentzat eskuragarri, zerrendatu gabeko YouTube bideo baten antzera. Horrelako mapa batera sartzea edo hura gordetzea bere mapa-kodea ezagutuz diseinu hutsa da.

Ostatatzen dugun baina mantentzen ez dugun hirugarrenen softwarea. GeoServer, Tomcat edo gure zerbitzuekin batera ezarritako beste hirugarrenen pilen arazoak. Mesedez, jakinarazi horiek dagozkien upstream mantentzaileei.

Eraso-agertoki zehatzik gabeko segurtasun-goiburuen falta. CSP, X-Frame-Options, HSTS eta abarri buruzko txostenak, ustiapen funtzionalik gabe, ez dira egokiak.

Rate limiting bakarrik. Rate limiting segurtasunerako kritikoa ez den endpoint-etan rate limiting-ik ez izatea, abusu-agertoki frogaturik gabe.

AA erabilera

AA erabiltzen dugu hasierako baliozkotzea egiteko, sailkapenerako. Batzuetan akatsak egiten ditu; txosten bakoitza gizakiok ere berrikusten dugu, baina AAk hasieran akats handi bat egin duela uste baduzu, gehitu ohar bat bidalketari testuinguru gehiagorekin etab..compromise any

Burp erabilera / Endpoint-ak

Burp bezalako tresnak erabiltzen ditugu azterketa azkarretarako. Oro har, nahiago dugu azterketa horiek guri ez egitea, milaka eskaerarekin jotzeak zerbitzarietan beharrezkoa ez den karga sortzen baitu. 

Denbora aurrezteko, hona hemen endpoint batzuk: 

https://www.scribblemaps.com/ 
(Azterketa bat egiten baduzu, blokeatu /maps/ bidea, eskaneatzaileak zulo handi batera bideratuko baititu) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Ordainketak

Ez dago ordainketa-epeen bermerik. Hileroko aurrekontu bat esleitzen dugu, eta arazo larriak beti lehenengo ordaintzen dira. Ordainketak wise edo paypal bidez bakarrik egiten ditugu.
 

Sariaren galera

Txosten bat baliozkotzeak edo onartzeak sari baterako egokitasuna ezartzen du, ez baldintzarik gabeko eskubide bat. ScribbleMaps-ek sari bat osorik edo zati batean murriztu edo atxiki dezake ikerlariaren jokabideak termino hauek edo fede onez koordinatutako ezagutarazpenaren printzipioak urratzen dituenean. Galera ScribbleMaps-en eskuduntzakoa da; arrazoia txostenean erregistratzen da eta ikerlariari jakinarazten zaio.

Bestela ordaingarria litzatekeen sari bat galdu daiteke honako arrazoi hauetakoren batengatik:

1. Ezagutarazpen publiko goiztiarra edo mehatxatua. Ahultasuna publikoki, hirugarrenei edo hedabide/gizarte-sareen bidez ezagutaraztea — edo ezagutarazteko mehatxua egitea — ScribbleMaps-ek arazoa konpondu eta ezagutarazpena baimendu baino lehen. Koordinatutako ezagutarazpena programaren baldintza bat da.
2. Hertsapena, estortsioa edo jazarpena. Ez ezagutaraztea ordainketaren menpe jartzea; langileak mehatxatzea edo presionatzea; edo laguntza-, fakturazio- edo txostengileen kanalak ordainketa behin eta berriz edo modu abusuzkoan eskatzeko erabiltzea. Sariaren egoerari buruzko galderak sari-atariaren bidez egin behar dira, eta ScribbleMaps-ek erantzungo ditu.
3. Identitate anitzak edo bikoiztuak. Ikerlari-kontu bat baino gehiago erabiltzea, edo kontu desberdinen sariak ordainketa-helbide partekatu batera bideratzea, bidalketa-kopurua edo sariak puztzeko.
4. Konplizitatea edo fabrikatutako aurkikuntzak. Kontuen artean bidalketak koordinatzea, beste parte-hartzaile baten kontua edo mapak froga-kontzeptu batean “biktima” gisa erabiltzea, edo produktuak sor ezin dezakeen datu-egoera bat fabrikatzea eta ondoriozko datuak filtrazio gisa aipatzea.
5. Ahalegin gutxiko edo automatizatutako spama. Eskaneatzaile automatizatuen irteeren, liburutegi zaharkituen/CVE zerrenden edo irismenetik kanpoko elementu ezagunen (ikus Irismenetik kanpo) bidalketa masiboak, ScribbleMaps-i berezko ustiapen frogaturik gabe.
6. Proba kaltegarriak edo legez kanpokoak. Beste erabiltzaileen datuak sartzea, aldatzea edo ateratzea arazoa frogatzeko beharrezkoa den gutxienekoa baino gehiago; zerbitzua narriatzea edo ukatzea; langileei edo erabiltzaileei ingeniaritza soziala aplikatzea; edo programaren irismenak edo indarrean dagoen legeak debekatutako edozein jarduera.
7. Okerreko aurkezpena edo iruzurra. Erreprodukzio-urratsak, frogak, aurkikuntza-datak edo identitatea faltsutzea.

Oharrak.

• Galera partziala (sari murriztua) edo osoa ($0) izan daiteke.
• Jokabide okerragatik galdutako txosten baliozko bat ez da berriro egokia aurkikuntza beragatik.
• Termino hauek bidalketa-unetik aplikatzen dira eta txosten bat onartzen denean bidalitako onarpen-jakinarazpenean berriz adierazten dira.

Txosten bat bidaltzeko

Mesedez, bisitatu: https://api.scribblemaps.com/vulnerabilities

Guneak AA bidez txostenak nola bidali azaltzen duten argibideak ere baditu. Saioa hasi behar duzu txosten bat bidaltzeko.

Legezko puntuak

Ezin dugu sariak eman zigor-zerrendetan dauden pertsonei, ezta zigor-zerrendetan dauden herrialdeetan (adib. Kuba, Iran, Ipar Korea, Sudan eta Siria) daudenei ere. Zure erantzukizuna da bizilekuko eta herritartasuneko herrialdearen araberako zerga-ondorioak. Baliteke zure tokiko legearen arabera parte hartzeko gaitasunari beste murrizketa batzuk ezartzea.

Hau ez da lehiaketa bat, baizik eta esperimentuzko eta diskrezionalitatezko sari-programa bat. Jakin behar duzu programa edonoiz bertan behera utz dezakegula, eta sari bat ordaindu ala ez erabakitzea erabat gure eskuduntzakoa dela.

Jakina, zure probek ez dute inolako legerik urratu behar, ezta zureak ez diren datuak eten edo konprometitu ere.