Haavoittuvuudet ja palkkiot

Maksamme palkkioita havaituista haavoittuvuuksista tai tietoturvaan liittyvistä ongelmista. Jotta palkkio voidaan maksaa, seuraavien ehtojen on täytyttävä.

#1 Haavoittuvuuden on oltava yksilöllinen 
Jos saamme useita raportteja, ensimmäisenä raportoinut saa palkkion. Voimme harkintamme mukaan maksaa nimellisiä toissijaisia ilmoitusmaksuja kannustaaksemme tuleviin löydöksiin.

#2 Haavoittuvuuden on oltava toistettavissa
Emme maksa haavoittuvuuksista, joita ei voida toistaa. Emme maksa palkkioita YouTube-videoista, jotka esittelevät haavoittuvuutta, jota ei voida toistaa.

#3 Hyökkäysskenaarion on oltava olemassa
Hyökkäyksellä on oltava leviämiskyky meidän järjestelmiemme kautta. Selitä leviämiskyky. Esimerkiksi API-rajapintamme hyödyntäminen ja sen jälkeen haitallisten skriptien kirjoittaminen ei lasketa, sillä se ei eroa mitenkään siitä, että kirjoittaisi vain sivun, jossa on haitallisia skriptejä.
 

Miten palkkiosummat määritetään

Jokaisella yllä olevalla luokalla on maksualue. Se, mihin kohtaan aluetta kelvollinen raportti sijoittuu, riippuu kolmesta tekijästä:

Hyödyntämiseen vaadittavat oikeudet. Todentamattomat virheet sijoittuvat alueen yläpäähän. Todennetun käyttäjän vaativat virheet sijoittuvat keskivaiheille. Erityisoikeuksia vaativat virheet (tiimin ylläpitäjä, tiimin omistaja, maksullinen tilaus, sisäinen henkilökunta) sijoittuvat alareunaan.

Vaikutussäde. Haavoittuvuudet, jotka vaikuttavat jokaiseen käyttäjään tai jokaiseen karttaan, tuovat suuremman palkkion kuin haavoittuvuudet, jotka vaikuttavat vain yhteen tiliin tai yhteen tiimiin, johon hyökkääjä jo kuuluu.

Kumottavuus. Vahinko, jonka kyseinen käyttäjä voi kumota normaalien työnkulkujen kautta (esimerkiksi salasanan palautus), tuo pienemmän palkkion kuin vahinko, joka on pysyvä tai vaatii meidän puuttumistamme sen kumoamiseksi.

Myös raportin laatu vaikuttaa. Selkeä kuvaus toimivalla proof of concept -konseptilla, juurisyyanalyysillä ja korjausehdotuksella voi ansaita alueen yläpään, vaikka pelkkä tekninen vaikutus sijoittuisi keskivaiheille. Huolimattomat tai spekulatiiviset raportit voivat jäädä alareunaan.

Rajauksen ulkopuolella

Seuraavat eivät oikeuta palkkioon:

Anonyymit yhteisökartat. Kartat ilman omistajaa, joita kuka tahansa voi muokata, ovat pitkäaikainen yhteisöominaisuus. Anonyymin kartan päälle tallentaminen ei ole haavoittuvuus.

Listaamattomat (URL tunnistetietona) kartat. Kartat ilman LockView-toimintoa ovat tarkoituksella kenen tahansa saatavilla, joka tietää URL-osoitteen, samalla tavalla kuin listaamaton YouTube-video. Tällaisen kartan avaaminen tai tallentaminen tietämällä sen karttakoodi on suunniteltu ominaisuus.

Kolmannen osapuolen ohjelmistot, joita isännöimme mutta emme ylläpidä. Ongelmat GeoServerissä, Tomcatissa tai muissa kolmannen osapuolen pinoissa, jotka on otettu käyttöön palveluidemme rinnalla. Ilmoita näistä kyseisille ylävirran ylläpitäjille.

Puuttuvat tietoturvaotsikot ilman konkreettista hyökkäysskenaariota. Raportit koskien CSP-, X-Frame-Options-, HSTS- jne. otsikoita ilman toimivaa hyökkäystä eivät oikeuta palkkioon.

Pelkkä pyyntörajoituksen puuttuminen. Pyyntörajoituksen puuttuminen päätepisteistä, joissa pyyntörajoitus ei ole tietoturvakriittinen, ilman osoitettua väärinkäyttöskenaariota.

Tekoälyn käyttö

Hyödynnämme tekoälyä alustavassa validoinnissa luokittelua varten. Se tekee joskus virheitä, teemme jokaisesta ihmisarvioinnin, mutta jos uskot tekoälyn tehneen suuren virheen aluksi, lisää ilmoitukseen huomautus, jossa on lisäkontekstia jne..vaaranna mitään

Burpin käyttö / Päätepisteet

Käytämme työkaluja, kuten Burpia, nopeisiin tarkistuksiin. Toivomme yleisesti, ettet tee näitä tarkistuksia meille, sillä tuhansilla pyynnöillä osuminen aiheuttaa vain tarpeetonta kuormitusta palvelimillemme. 

Säästääksemme aikaasi, tässä on joitakin päätepisteitä: 

https://www.scribblemaps.com/ 
(Jos teet tarkistuksen, estä /maps/-polku, sillä tämä lähettää skannerit kaninkoloon) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Maksut

Maksuaikatauluille ei ole takuita. Kohdistamme kuukausittaisen budjetin, ja vakavat ongelmat maksetaan aina ensin. Teemme maksuja vain Wisen tai Paypalin kautta.
 

Palkkion menettäminen

Raportin vahvistaminen tai hyväksyminen luo kelpoisuuden palkkioon, ei ehdotonta oikeutta siihen. ScribbleMaps voi pienentää palkkiota tai pidättää sen kokonaan tai osittain kun tutkijan toiminta rikkoo näitä ehtoja tai hyvässä uskossa tapahtuvan koordinoidun paljastamisen periaatteita. Menettäminen on ScribbleMapsin harkinnassa; syy kirjataan raporttiin ja ilmoitetaan tutkijalle.

Palkkio, joka muuten olisi maksettava, voidaan menettää seuraavista syistä:

1. Ennenaikainen tai uhattu julkinen paljastaminen. Haavoittuvuuden paljastaminen — tai sillä uhkaaminen — julkisesti, kolmansille osapuolille tai median/sosiaalisen median kanavien kautta ennen kuin ScribbleMaps on korjannut ongelman ja valtuuttanut paljastamisen. Koordinoitu paljastaminen on ohjelman ehto.
2. Pakottaminen, kiristys tai häirintä. Paljastamatta jättämisen asettaminen ehdoksi maksulle; henkilökunnan uhkaileminen tai painostaminen; tai tuki-, laskutus- tai raportointikanavien käyttäminen toistuvasti tai väärinkäyttäen maksun vaatimiseen. Palkkion tilaa koskevat kysymykset tulee esittää palkkioportaalin kautta, johon ScribbleMaps vastaa.
3. Useat tai päällekkäiset identiteetit. Useamman kuin yhden tutkijatilin ylläpitäminen tai erillisten tilien palkkioiden ohjaaminen yhteiseen maksuosoitteeseen ilmoitusmäärien tai palkkioiden paisuttamiseksi.
4. Yhteistoiminta tai tekaistut löydökset. Ilmoitusten koordinointi tilien välillä, toisen osallistujan tilin tai karttojen käyttäminen ”uhrina” proof of concept -testissä tai sellaisen tietotilan luominen, jota tuote ei voi tuottaa, ja tuloksena olevien tietojen esittäminen vuotona.
5. Vähäpätöinen tai automaattinen roskaposti. Automaattisten skanneritulosten, vanhentuneiden kirjastojen/CVE-luetteloiden tai tunnettujen rajauksen ulkopuolisten kohteiden joukkolähetykset (katso Rajauksen ulkopuolella) ilman osoitettua, ScribbleMaps-kohtaista hyökkäystä.
6. Haitallinen tai lainvastainen testaus. Muiden käyttäjien tietojen tarkastelu, muuttaminen tai haltuunotto yli sen, mikä on välttämätöntä ongelman osoittamiseksi; palvelun heikentäminen tai estäminen; henkilökunnan tai käyttäjien manipulointi (social engineering); tai mikä tahansa toiminta, joka on kielletty ohjelman laajuudessa tai sovellettavassa laissa.
7. Harhaanjohtaminen tai petos. Toistovaiheiden, todisteiden, löytöpäivämäärien tai henkilöllisyyden väärentäminen.

Muistiinpanot.

• Menettäminen voi olla osittainen (pienempi palkkio) tai täysi ($0).
• Vahvistettu raportti, joka menetetään väärinkäytöksen vuoksi, ei ole uudelleen oikeutettu samaan löydökseen.
• Nämä ehdot ovat voimassa lähetyshetkestä alkaen, ja ne kerrataan hyväksymisilmoituksessa, joka lähetetään, kun raportti hyväksytään.

Raportin lähettäminen

Käy osoitteessa: https://api.scribblemaps.com/vulnerabilities

Sivusto sisältää myös ohjeet raporttien lähettämiseen tekoälyn kautta. Sinun on kirjauduttava sisään lähettääksesi raportin.

Oikeudelliset seikat

Emme voi maksaa palkkioita henkilöille, jotka ovat pakoteluetteloissa, tai jotka ovat pakoteluetteloissa olevissa maissa (esim. Kuuba, Iran, Pohjois-Korea, Sudan ja Syyria). Olet vastuussa kaikista verovaikutuksista asuinmaasi ja kansalaisuutesi mukaan. Osallistumismahdollisuuksiisi voi liittyä lisärajoituksia paikallisen lainsäädännön mukaan.

Tämä ei ole kilpailu, vaan kokeellinen ja harkinnanvarainen palkkio-ohjelma. Sinun tulee ymmärtää, että voimme peruuttaa ohjelman milloin tahansa, ja päätös palkkion maksamisesta on täysin meidän harkinnassamme.

Testauksesi ei tietenkään saa rikkoa mitään lakia, eikä se saa häiritä tai vaarantaa mitään tietoja, jotka eivät ole omiasi.