Veikleikar og fundarlaun

Við greiðum fundarlaun fyrir uppgötvaða veikleika eða öryggistengd vandamál. Til að fá greitt þarf eftirfarandi að vera uppfyllt.

#1 Veikleikinn verður að vera einstakur 
Ef við fáum margar tilkynningar fær sá sem tilkynnir fyrst fundarlaunin. Við getum, að eigin ákvörðun, greitt vægar aukagreiðslur fyrir tilkynningar til að hvetja til frekari uppgötvana í framtíðinni.

#2 Veikleikinn verður að vera endurskapanlegur
Við greiðum ekki fyrir veikleika sem ekki er hægt að endurskapa. Við greiðum ekki fundarlaun fyrir YouTube-myndbönd sem sýna veikleika sem ekki er hægt að endurskapa.

#3 Verður að hafa árásarsviðsmynd
Árásin verður að geta dreifst í gegnum okkar kerfi. Vinsamlegast útskýrðu dreifingargetuna. Til dæmis myndi það að nýta API-ið okkar og skrifa síðan skaðleg skriftu ekki teljast, þar sem það væri ekkert frábrugðið því að skrifa vefsíðu með skaðlegum skriftum.
 

Hvernig fjárhæð fundarlauna er ákvörðuð

Hver flokkur hér að ofan hefur greiðslubil. Hvar gild tilkynning lendir innan bilsins fer eftir þremur þáttum:

Réttindi sem þarf til að nýta veikleikann. Veikleikar sem krefjast engrar auðkenningar lenda efst í bilinu. Veikleikar sem krefjast auðkennds notanda lenda í miðjunni. Veikleikar sem krefjast sérstaks samhengis (teymisstjóri, teymiseigandi, greidd áskrift, innra starfsfólk) lenda neðst.

Umfang áhrifa. Veikleikar sem hafa áhrif á alla notendur eða öll kort skila hærri launum en veikleikar sem hafa áhrif á einn reikning eða eitt teymi sem árásaraðilinn tilheyrir þegar.

Afturkræfni. Tjón sem notandinn getur afturkallað með venjulegum aðferðum (til dæmis endurstillingu lykilorðs) skilar lægri launum en tjón sem varir eða krefst inngrips af okkar hálfu til að afturkalla.

Gæði tilkynningar skipta einnig máli. Skýr lýsing með virkri sönnun á hugmynd (proof of concept), rótargreiningu og tillögu að úrbótum getur skilað efsta hluta bilsins jafnvel þótt tæknileg áhrif ein og sér lendi í miðju bilsins. Slæleg eða getgátukennd tilkynning getur skilað neðsta hluta bilsins.

Utan gildissviðs

Eftirfarandi á ekki rétt á fundarlaunum:

Nafnlaus samfélagskort. Kort án eiganda sem allir geta breytt eru rótgróinn eiginleiki samfélagsins. Að vista yfir nafnlaust kort er ekki veikleiki.

Óskráð kort (slóð sem aðgangsorð). Kort án LockView eru vísvitandi aðgengileg öllum sem þekkja slóðina, svipað og óskráð YouTube-myndband. Að nálgast eða vista slíkt kort með því að þekkja kortakóða þess er hannað þannig.

Hugbúnaður þriðja aðila sem við hýsum en viðhöldum ekki. Vandamál í GeoServer, Tomcat eða öðrum hugbúnaðarstöflum þriðja aðila sem eru settir upp samhliða þjónustum okkar. Vinsamlegast tilkynntu þau til viðkomandi viðhaldsaðila.

Vantandi öryggishausar án áþreifanlegrar árásarsviðsmyndar. Tilkynningar um CSP, X-Frame-Options, HSTS o.s.frv. án virkrar nýtingar eiga ekki rétt á fundarlaunum.

Hraðatakmörkun út af fyrir sig. Skortur á hraðatakmörkun á endapunktum þar sem hraðatakmörkun er ekki öryggiskritísk, án sýndrar misnotkunarsviðsmyndar.

Notkun gervigreindar

Við notum gervigreind til að framkvæma fyrstu staðfestingu við forgangsröðun. Hún gerir stundum mistök, við framkvæmum mannlega yfirferð á hverri tilkynningu, en ef þú telur að gervigreindin hafi gert stór mistök í upphafi skaltu bæta við athugasemd við innsendinguna með frekara samhengi o.s.frv..compromise any

Notkun Burp / Endapunktar

Við notum verkfæri eins og Burp fyrir fljótlegar skannanir. Við kjósum almennt að þú framkvæmir ekki slíkar skannanir á okkur þar sem þúsundir beiðna valda óþarfa álagi á netþjóna okkar. 

Til að spara þér tíma eru hér nokkrir endapunktar: 

https://www.scribblemaps.com/ 
(Ef þú keyrir skönnun skaltu loka á /maps/ slóðina þar sem hún sendir skanna í endalausa holu) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Greiðslur

Engar tryggingar eru fyrir greiðslutímaramma. Við úthlutum mánaðarlegri fjárveitingu og alvarleg vandamál eru alltaf greidd fyrst. Við greiðum eingöngu í gegnum Wise eða PayPal.
 

Missir fundarlauna

Staðfesting eða samþykki tilkynningar skapar rétt til verðlauna, ekki skilyrðislausan rétt á þeim. ScribbleMaps getur lækkað eða haldið eftir fundarlaunum að öllu leyti eða að hluta þegar hegðun rannsakanda brýtur gegn þessum skilmálum eða meginreglum um samræmda birtingu í góðri trú. Missir launa er að ákvörðun ScribbleMaps; ástæðan er skráð á tilkynninguna og komið á framfæri við rannsakandann.

Fundarlaun sem annars væru greiðanleg geta glatast vegna eftirfarandi:

1. Ótímabær eða hótuð opinber birting. Að birta veikleikann — eða hóta að birta hann — opinberlega, fyrir þriðju aðilum eða í gegnum fjölmiðla/samfélagsmiðla áður en ScribbleMaps hefur lagað vandamálið og heimilað birtingu. Samræmd birting er skilyrði áætlunarinnar.
2. Nauðung, fjárkúgun eða áreitni. Að gera það að skilyrði fyrir þögn að greitt sé; hóta eða þrýsta á starfsfólk; eða nota þjónustu-, reikninga- eða tilkynnendarásir til að krefjast ítrekað eða með misnotkun greiðslu. Spurningar um stöðu launa skal bera upp í gegnum fundarlaunagáttina, þar sem ScribbleMaps mun svara þeim.
3. Margar eða tvítekin auðkenni. Að reka fleiri en einn rannsakandareikning, eða að beina launum fyrir aðskilda reikninga á sameiginlegt greiðsluheimilisfang, til að blása upp fjölda innsendinga eða launa.
4. Samráð eða tilbúnar niðurstöður. Að samræma innsendingar milli reikninga, nota reikning eða kort annars þátttakanda sem „fórnarlamb“ í sönnun á hugmynd, eða að búa til gagnaástand sem varan getur ekki framleitt og vísa síðan í gögnin sem leka.
5. Lítil fyrirhöfn eða sjálfvirkur ruslpóstur. Fjöldainnsendingar á sjálfvirku úttaki skanna, listum yfir úrelt bókasöfn/CVE, eða þekktum atriðum utan gildissviðs (sjá Utan gildissviðs) án sýndrar, ScribbleMaps-sértækrar nýtingar.
6. Skaðlegar eða ólöglegar prófanir. Að fá aðgang að gögnum annarra notenda, breyta þeim eða afrita þau umfram það lágmark sem þarf til að sýna fram á vandamálið; að skerða eða hindra þjónustu; að beita félagslegri verkfræði gegn starfsfólki eða notendum; eða hvers kyns athæfi sem bannað er samkvæmt gildissviði áætlunarinnar eða gildandi lögum.
7. Rangfærsla eða svik. Að falsa endurgerðarskref, sönnunargögn, uppgötvunardagsetningar eða auðkenni.

Athugasemdir.

• Missir getur verið að hluta (lækkuð laun) eða að fullu ($0).
• Staðfest tilkynning sem glatast vegna misferlis á ekki aftur rétt á launum fyrir sömu uppgötvun.
• Þessir skilmálar gilda frá þeirri stundu sem innsending á sér stað og eru endurtekna í samþykkistilkynningunni sem send er þegar tilkynning er samþykkt.

Til að senda inn tilkynningu

Vinsamlegast farðu á: https://api.scribblemaps.com/vulnerabilities

Vefsvæðið inniheldur einnig leiðbeiningar um hvernig senda má inn tilkynningar með gervigreind. Þú verður að skrá þig inn til að senda inn tilkynningu.

Lagaleg atriði

Við getum ekki veitt verðlaun einstaklingum sem eru á refsiaðgerðalistum, eða sem eru í löndum (t.d. Kúba, Íran, Norður-Kórea, Súdan og Sýrland) sem eru á refsiaðgerðalistum. Þú berð ábyrgð á öllum skattalegum afleiðingum eftir búsetulandi þínu og ríkisfangi. Kunna að vera til viðbótartakmarkanir á þátttöku þinni eftir staðbundnum lögum.

Þetta er ekki keppni, heldur tilraunakennd og geðþóttabundin verðlaunaáætlun. Þú ættir að skilja að við getum aflýst áætluninni hvenær sem er, og ákvörðun um hvort greidd séu verðlaun eða ekki er algerlega að okkar geðþótta.

Að sjálfsögðu má prófun þín ekki brjóta nein lög, né trufla eða skerða nein gögn sem eru ekki þín eigin.