Ievainojamības un atlīdzības

Mēs maksājam atlīdzības par atklātām ievainojamībām vai ar drošību saistītām problēmām. Lai saņemtu atlīdzību, jāizpildās šādiem nosacījumiem.

#1 Ievainojamībai jābūt unikālai 
Ja saņemam vairākus ziņojumus, atlīdzību saņems pirmais ziņotājs. Mēs varam pēc saviem ieskatiem izmaksāt nominālas sekundārā paziņojuma maksas, lai veicinātu turpmākus atklājumus.

#2 Ievainojamībai jābūt atkārtojamai
Mēs nemaksāsim par ievainojamību, kuru nav iespējams atkārtot. Mēs nemaksāsim atlīdzības par YouTube video, kuros demonstrēta ievainojamība, ko nevar atkārtot.

#3 Jābūt uzbrukuma scenārijam
Uzbrukumam jābūt izplatāmam caur mūsu sistēmām. Lūdzu, paskaidrojiet izplatīšanas iespējas. Piemēram, mūsu API izmantošana un pēc tam ļaunprātīgu skriptu rakstīšana neskaitītos, jo tas neatšķirtos no vienkāršas lapas izveides ar ļaunprātīgiem skriptiem.
 

Kā tiek noteikti atlīdzības apmēri

Katrai iepriekš minētajai kategorijai ir izmaksas diapazons. Kur šajā diapazonā iekrīt derīgs ziņojums, atkarīgs no trim faktoriem:

Izmantošanai nepieciešamā privilēģija. Ievainojamības bez autentifikācijas iekrīt diapazona augšgalā. Ievainojamības, kurām nepieciešams autentificēts lietotājs, iekrīt vidū. Ievainojamības, kurām nepieciešams privileģēts konteksts (komandas administrators, komandas īpašnieks, apmaksāts plāns, iekšējais personāls), iekrīt apakšgalā.

Ietekmes apjoms. Ievainojamības, kas ietekmē katru lietotāju vai katru karti, tiek atalgotas augstāk nekā ievainojamības, kas ietekmē vienu kontu vai vienu komandu, kurai uzbrucējs jau pieder.

Atgriezeniskums. Kaitējums, ko ietekmētais lietotājs var atsaukt ar parastām darbībām (piemēram, paroles atiestatīšanu), tiek atalgots zemāk nekā kaitējums, kas saglabājas vai kura atsaukšanai nepieciešama mūsu iejaukšanās.

Ziņojuma kvalitāte arī ir svarīga. Skaidrs apraksts ar strādājošu koncepcijas pierādījumu, cēloņa analīzi un labošanas ieteikumu var nopelnīt diapazona augšgalu pat tad, ja tikai tehniskā ietekme atbilstu vidējam līmenim. Paviršie vai spekulatīvie ziņojumi var nopelnīt apakšgalu.

Ārpus darbības jomas

Par tālāk minēto atlīdzība netiek maksāta:

Anonīmās kopienas kartes. Kartes bez īpašnieka, ko ikviens var rediģēt, ir sena kopienas funkcija. Anonīmas kartes pārrakstīšana nav ievainojamība.

Nerādīts sarakstā (URL kā akreditācijas dati) kartes. Kartes bez LockView ir apzināti pieejamas ikvienam, kas zina URL, līdzīgi kā neiekļauts YouTube video. Piekļuve šādai kartei vai tās saglabāšana, zinot kartes kodu, ir paredzēta.

Trešo pušu programmatūra, ko mēs mitinām, bet neuzturam. Problēmas GeoServer, Tomcat vai citos trešo pušu risinājumos, kas izvietoti līdzās mūsu pakalpojumiem. Lūdzu, ziņojiet par tām attiecīgajiem pamatprojekta uzturētājiem.

Trūkstošas drošības galvenes bez konkrēta uzbrukuma scenārija. Ziņojumi par CSP, X-Frame-Options, HSTS u.c. bez strādājoša exploit nav tiesīgi uz atlīdzību.

Ātruma ierobežošana atsevišķi. Ātruma ierobežojuma trūkums galapunktos, kur ātruma ierobežošana nav drošībai kritiska, bez pierādīta ļaunprātīgas izmantošanas scenārija.

MI izmantošana

Mēs izmantojam MI, lai veiktu sākotnējo validāciju atlasei. Tas dažkārt kļūdās; mēs katru ziņojumu pārskatām arī manuāli, tomēr, ja uzskatāt, ka MI sākotnēji ir pieļāvis lielu kļūdu, pievienojiet iesniegumam piezīmi ar papildu kontekstu utt..compromise any

Burp izmantošana / galapunkti

Mēs izmantojam tādus rīkus kā Burp ātrām skenēšanām. Mēs parasti dodam priekšroku, ka jūs šādas skenēšanas nevērsiet pret mums, jo tūkstošiem pieprasījumu tikai rada nevajadzīgu slodzi mūsu serveriem. 

Lai ietaupītu jūsu laiku, šeit ir galapunkti: 

https://www.scribblemaps.com/ 
(Ja veicat skenēšanu, bloķējiet ceļu /maps/, jo tas ievilinās skenerus bezgalīgā ciklā) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Maksājumi

Maksājumu termiņiem nav garantiju. Mēs piešķiram ikmēneša budžetu, un nopietnas problēmas vienmēr tiek apmaksātas pirmās. Maksājumus veicam tikai ar Wise vai PayPal.
 

Atlīdzības zaudēšana

Ziņojuma validēšana vai pieņemšana nodrošina tiesības uz atlīdzību, nevis beznosacījumu pienākumu to saņemt. ScribbleMaps var samazināt vai atteikt atlīdzību pilnībā vai daļēji, ja pētnieka rīcība pārkāpj šos noteikumus vai labticīgas koordinētas atklāšanas principus. Atlīdzības zaudēšana ir ScribbleMaps ieskatos; iemesls tiek reģistrēts ziņojumā un paziņots pētniekam.

Atlīdzība, kas citādi būtu izmaksājama, var tikt zaudēta jebkura no šiem iemesliem dēļ:

1. Pāragra vai draudu veidā izteikta publiska atklāšana. Ievainojamības atklāšana — vai draudi to atklāt — publiski, trešajām pusēm vai caur plašsaziņas līdzekļiem/sociālajiem kanāliem, pirms ScribbleMaps ir novērsis problēmu un atļāvis atklāšanu. Koordinēta atklāšana ir programmas nosacījums.
2. Piespiešana, izspiešana vai uzmākšanās. Neatklāšanas saistīšana ar samaksu; personāla apdraudēšana vai spiešana; vai atbalsta, norēķinu vai ziņotāju kanālu izmantošana, lai atkārtoti vai aizskarošā veidā pieprasītu samaksu. Jautājumi par atlīdzības statusu jāuzdod caur atlīdzību portālu, uz kuriem ScribbleMaps atbildēs.
3. Vairākas vai dublētas identitātes. Vairāk nekā viena pētnieka konta izmantošana vai atlīdzību novirzīšana no atsevišķiem kontiem uz kopīgu maksājumu adresi, lai palielinātu iesniegumu skaitu vai atlīdzības.
4. Slepena vienošanās vai safabricēti atklājumi. Iesniegumu koordinēšana starp kontiem, cita dalībnieka konta vai karšu izmantošana kā “upura” koncepcijas pierādījumā vai tādas datu stāvokļa izveide, ko produkts nevar radīt, un pēc tam iegūto datu uzrādīšana kā noplūdi.
5. Mazvērtīgs vai automatizēts surogātpasts. Automatizētu skeneru izvades, novecojušu bibliotēku/CVE sarakstu vai zināmu ārpus darbības jomas esošu elementu masveida iesniegšana (skatiet Ārpus darbības jomas) bez pierādīta, ScribbleMaps specifiska exploit.
6. Kaitīga vai nelikumīga testēšana. Citu lietotāju datu piekļuve, mainīšana vai izgūšana ārpus minimuma, kas nepieciešams problēmas demonstrēšanai; pakalpojuma pasliktināšana vai atteikšana; personāla vai lietotāju sociālā inženierija; vai jebkura darbība, ko aizliedz programmas darbības joma vai piemērojamie tiesību akti.
7. Maldināšana vai krāpšana. Atkārtošanas soļu, pierādījumu, atklāšanas datumu vai identitātes viltošana.

Piezīmes.

• Atlīdzības zaudēšana var būt daļēja (samazināta atlīdzība) vai pilnīga ($0).
• Validēts ziņojums, kas zaudēts nepareizas rīcības dēļ, nav atkārtoti tiesīgs uz to pašu atklājumu.
• Šie noteikumi piemērojami no iesniegšanas brīža, un tie tiek atkārtoti pieņemšanas paziņojumā, kas tiek nosūtīts, kad ziņojums tiek pieņemts.

Kā iesniegt ziņojumu

Lūdzu, apmeklējiet: https://api.scribblemaps.com/vulnerabilities

Vietnē ir arī norādījumi, kā iesniegt ziņojumus, izmantojot MI. Lai iesniegtu ziņojumu, jums jāpiesakās.

Juridiskie punkti

Mēs nevaram izsniegt atlīdzības personām, kas ir sankciju sarakstos, vai kas atrodas valstīs (piem., Kuba, Irāna, Ziemeļkoreja, Sudāna un Sīrija), kuras ir sankciju sarakstos. Jūs esat atbildīgs par jebkurām nodokļu sekām atkarībā no jūsu dzīvesvietas un pilsonības valsts. Atkarībā no vietējiem tiesību aktiem var pastāvēt papildu ierobežojumi jūsu dalībai.

Šis nav konkurss, bet gan eksperimentāla un diskrecionāra atlīdzību programma. Jums jāsaprot, ka mēs varam atcelt programmu jebkurā laikā, un lēmums par to, vai maksāt atlīdzību, pilnībā ir mūsu ziņā.

Protams, jūsu testēšana nedrīkst pārkāpt nevienu likumu vai traucēt vai apdraudēt datus, kas nepieder jums.