असुरक्षितता आणि बक्षिसे

आम्ही शोधलेल्या असुरक्षितता (vulnerabilities) किंवा सुरक्षेशी संबंधित समस्यांसाठी बक्षीस देतो. बक्षीस मिळण्यासाठी खालील गोष्टी खऱ्या असणे आवश्यक आहे.

#1 असुरक्षितता अद्वितीय असली पाहिजे 
जर आम्हाला अनेक अहवाल मिळाले, तर सर्वप्रथम अहवाल देणाऱ्यास बक्षीस मिळेल. भविष्यातील शोधांना प्रोत्साहन देण्यासाठी आम्ही आमच्या विवेकानुसार नाममात्र दुय्यम सूचना शुल्क देऊ शकतो.

#2 असुरक्षितता पुन्हा निर्माण करता आली पाहिजे
जी असुरक्षितता पुन्हा निर्माण करता येत नाही, तिच्यासाठी आम्ही पैसे देणार नाही. पुन्हा निर्माण करता न येणारी असुरक्षितता दाखवणाऱ्या YouTube व्हिडिओंवर आम्ही बक्षीस देणार नाही.

#3 हल्ल्याची परिस्थिती (attack scenario) असणे आवश्यक आहे
हल्ल्यामध्ये आमच्या प्रणालींमार्फत वितरणाची क्षमता असली पाहिजे. कृपया वितरण क्षमता स्पष्ट करा. उदाहरणार्थ, आमच्या API चा वापर करून दुर्भावनापूर्ण स्क्रिप्ट लिहिणे हे ग्राह्य धरले जाणार नाही, कारण ते दुर्भावनापूर्ण स्क्रिप्ट असलेले पृष्ठ लिहिण्यापेक्षा वेगळे नाही.
 

बक्षिसाची रक्कम कशी ठरवली जाते

वर दिलेल्या प्रत्येक श्रेणीसाठी बक्षिसाची एक श्रेणी (range) आहे. वैध अहवाल त्या श्रेणीत कुठे येतो हे तीन घटकांवर अवलंबून असते:

शोषणासाठी आवश्यक विशेषाधिकार. प्रमाणीकरणाशिवाय (unauthenticated) शोषण करता येणारे बग्स श्रेणीच्या वरच्या टोकाला येतात. प्रमाणीकृत वापरकर्ता आवश्यक असलेले बग्स मध्यभागी येतात. विशेषाधिकारप्राप्त संदर्भ (टीम ॲडमिन, टीम मालक, सशुल्क योजना, अंतर्गत कर्मचारी) आवश्यक असलेले बग्स खालच्या टोकाला येतात.

प्रभावाची व्याप्ती (Blast radius). प्रत्येक वापरकर्त्यावर किंवा प्रत्येक नकाशावर परिणाम करणाऱ्या असुरक्षितता, हल्लेखोर आधीपासून सदस्य असलेल्या एकाच खात्यावर किंवा एकाच टीमवर परिणाम करणाऱ्या असुरक्षिततांपेक्षा अधिक बक्षीस मिळवतात.

उलट करण्याची क्षमता (Reversibility). बाधित वापरकर्ता सामान्य कार्यप्रवाहांद्वारे (उदा. पासवर्ड रीसेट) ज्या नुकसानीचे निराकरण करू शकतो, त्यासाठी कमी बक्षीस मिळते; जे नुकसान कायम राहते किंवा ज्याच्या निराकरणासाठी आमचा हस्तक्षेप आवश्यक असतो, त्यासाठी अधिक बक्षीस मिळते.

अहवालाची गुणवत्ताही विचारात घेतली जाते. कार्यरत प्रूफ ऑफ कॉन्सेप्ट, मूळ कारणाचे विश्लेषण आणि उपाययोजनेची सूचना असलेला स्पष्ट अहवाल, केवळ तांत्रिक परिणामामुळे मध्यम श्रेणीत येणार असला तरीही, श्रेणीचे वरचे टोक मिळवू शकतो. निष्काळजी किंवा केवळ अंदाजावर आधारित अहवालांना खालचे टोक मिळू शकते.

कक्षेबाहेर

खालील गोष्टी बक्षिसासाठी पात्र नाहीत:

अनामिक समुदाय नकाशे. मालक नसलेले आणि कोणालाही संपादित करता येणारे नकाशे हे दीर्घकाळापासूनचे समुदाय वैशिष्ट्य आहे. अनामिक नकाशावर पुन्हा जतन करणे ही असुरक्षितता नाही.

अनलिस्टेड (Unlisted) (URL हीच ओळखपत्र असलेले) नकाशे. LockView नसलेले नकाशे, अनलिस्टेड YouTube व्हिडिओप्रमाणेच, URL माहीत असलेल्या कोणालाही जाणीवपूर्वक उपलब्ध असतात. नकाशा कोड माहीत असल्यामुळे असा नकाशा उघडणे किंवा जतन करणे हे रचनेनुसारच आहे.

आम्ही होस्ट करतो पण सांभाळत नाही असे तृतीय-पक्ष सॉफ्टवेअर. आमच्या सेवांसोबत तैनात केलेल्या GeoServer, Tomcat किंवा इतर तृतीय-पक्ष स्टॅकमधील समस्या. कृपया या समस्या संबंधित अपस्ट्रीम देखभालकर्त्यांना कळवा.

ठोस हल्ल्याच्या परिस्थितीशिवाय सुरक्षा हेडर्सचा अभाव. कार्यरत एक्स्प्लॉइटशिवाय CSP, X-Frame-Options, HSTS इत्यादींबद्दलचे अहवाल पात्र नाहीत.

केवळ रेट लिमिटिंगचा मुद्दा. ज्या एंडपॉइंट्सवर रेट लिमिटिंग सुरक्षेसाठी महत्त्वाचे नाही, तेथे गैरवापराची प्रात्यक्षिक परिस्थिती दाखवल्याशिवाय रेट लिमिटिंगचा अभाव.

AI चा वापर

प्रारंभिक पडताळणी आणि वर्गीकरणासाठी (triaging) आम्ही AI चा वापर करतो. त्यात कधीकधी चुका होतात; आम्ही प्रत्येक अहवालाचे मानवी पुनरावलोकन करतो. तरीही, AI ने सुरुवातीला मोठी चूक केली आहे असे तुम्हाला वाटत असल्यास, अधिक संदर्भ इत्यादींसह सबमिशनमध्ये एक टीप (note) जोडा..compromise any

Burp चा वापर / एंडपॉइंट्स

जलद स्कॅनसाठी आम्ही burp सारखी साधने वापरतो. तुम्ही आमच्यावर असे स्कॅन करू नयेत अशी आमची सर्वसाधारण पसंती आहे, कारण हजारो विनंत्या पाठवल्याने आमच्या सर्व्हरवर अनावश्यक भार येतो. 

तुमचा थोडा वेळ वाचवण्यासाठी हे काही एंडपॉइंट्स: 

https://www.scribblemaps.com/ 
(तुम्ही स्कॅन करत असल्यास /maps/ पाथ ब्लॉक करा, कारण तो स्कॅनर्सना अंतहीन मार्गावर नेतो) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

देयके

देयकाच्या कालमर्यादेची कोणतीही हमी नाही. आम्ही मासिक बजेट ठरवतो आणि गंभीर समस्यांना नेहमी प्रथम पैसे दिले जातात. आम्ही देयके फक्त wise किंवा paypal द्वारे करतो.
 

बक्षीस जप्ती

अहवालाची पडताळणी करणे किंवा तो स्वीकारणे यामुळे बक्षिसासाठी पात्रता निर्माण होते, बक्षिसावर बिनशर्त हक्क नव्हे. जेव्हा एखाद्या संशोधकाचे वर्तन या अटींचे किंवा सद्भावनेने समन्वित प्रकटीकरणाच्या तत्त्वांचे उल्लंघन करते, तेव्हा ScribbleMaps बक्षीस पूर्णतः किंवा अंशतः कमी करू शकते किंवा रोखून ठेवू शकते. जप्ती ScribbleMaps च्या विवेकानुसार असते; त्याचे कारण अहवालावर नोंदवले जाते आणि संशोधकाला कळवले जाते.

अन्यथा देय असलेले बक्षीस खालीलपैकी कोणत्याही कारणासाठी जप्त केले जाऊ शकते:

1. अकाली किंवा धमकीवजा सार्वजनिक प्रकटीकरण. ScribbleMaps ने समस्येचे निराकरण करण्यापूर्वी आणि प्रकटीकरणास अधिकृत करण्यापूर्वी असुरक्षितता सार्वजनिकरित्या, तृतीय पक्षांना किंवा माध्यम/सोशल चॅनेलद्वारे उघड करणे — किंवा उघड करण्याची धमकी देणे. समन्वित प्रकटीकरण ही कार्यक्रमाची अट आहे.
2. बळजबरी, खंडणी किंवा छळ. अप्रकटीकरणासाठी पैशांची अट घालणे; कर्मचाऱ्यांना धमकावणे किंवा त्यांच्यावर दबाव आणणे; किंवा पैशांची वारंवार किंवा अपमानास्पद मागणी करण्यासाठी सपोर्ट, बिलिंग किंवा रिपोर्टर चॅनेलचा वापर करणे. बक्षिसाच्या स्थितीबद्दलचे प्रश्न बाउंटी पोर्टलद्वारे विचारावेत, ज्याला ScribbleMaps उत्तर देईल.
3. एकाधिक किंवा डुप्लिकेट ओळखी. सबमिशनची संख्या किंवा बक्षिसे वाढवण्यासाठी एकापेक्षा जास्त संशोधक खाती चालवणे, किंवा वेगवेगळ्या खात्यांची बक्षिसे एकाच सामायिक पेमेंट पत्त्यावर वळवणे.
4. संगनमत किंवा बनावट निष्कर्ष. खात्यांमध्ये सबमिशनचे समन्वय साधणे, प्रूफ ऑफ कॉन्सेप्टमध्ये दुसऱ्या सहभागीचे खाते किंवा नकाशे "बळी" म्हणून वापरणे, किंवा उत्पादन निर्माण करू शकत नाही अशी डेटा स्थिती बनवून नंतर त्यातून मिळालेला डेटा गळती म्हणून दाखवणे.
5. कमी-प्रयत्नांचे किंवा स्वयंचलित स्पॅम. स्वयंचलित स्कॅनर आउटपुट, कालबाह्य लायब्ररी/CVE याद्या, किंवा ज्ञात कक्षेबाहेरील बाबी (कक्षेबाहेर पहा) यांचे, ScribbleMaps-विशिष्ट प्रात्यक्षिक एक्स्प्लॉइटशिवाय, एकत्रित (Bulk) सबमिशन.
6. हानिकारक किंवा बेकायदेशीर चाचणी. समस्या दाखवण्यासाठी आवश्यक असलेल्या किमान मर्यादेपलीकडे इतर वापरकर्त्यांच्या डेटावर प्रवेश करणे, तो बदलणे किंवा बाहेर काढणे; सेवा खंडित करणे किंवा नाकारणे; कर्मचारी किंवा वापरकर्त्यांवर सोशल-इंजिनिअरिंग करणे; किंवा कार्यक्रमाच्या कक्षेने किंवा लागू कायद्याने प्रतिबंधित कोणतीही कृती.
7. चुकीचे सादरीकरण किंवा फसवणूक. पुन्हा निर्माण करण्याच्या पायऱ्या, पुरावे, शोधाच्या तारखा किंवा ओळख यांची खोटी माहिती देणे.

टिपा (Notes).

• जप्ती अंशतः (कमी केलेले बक्षीस) किंवा पूर्ण ($0) असू शकते.
• गैरवर्तनामुळे जप्त केलेला पडताळणी झालेला अहवाल त्याच निष्कर्षासाठी पुन्हा पात्र ठरत नाही.
• या अटी सबमिशनच्या क्षणापासून लागू होतात आणि अहवाल स्वीकारला जातो तेव्हा पाठवल्या जाणाऱ्या स्वीकृती सूचनेत पुन्हा नमूद केल्या जातात.

अहवाल सबमिट करण्यासाठी

कृपया भेट द्या: https://api.scribblemaps.com/vulnerabilities

AI द्वारे अहवाल कसे सबमिट करायचे याच्या सूचना देखील साइटवर आहेत. अहवाल सबमिट करण्यासाठी तुम्ही लॉग इन केले पाहिजे.

कायदेशीर मुद्दे

निर्बंध यादीत (sanctions lists) असलेल्या व्यक्तींना, किंवा निर्बंध यादीतील देशांमध्ये (उदा. क्यूबा, इराण, उत्तर कोरिया, सुदान आणि सीरिया) असलेल्या व्यक्तींना आम्ही बक्षिसे देऊ शकत नाही. तुमच्या निवासाच्या देशानुसार आणि नागरिकत्वानुसार कोणत्याही कर परिणामांची जबाबदारी तुमची आहे. तुमच्या स्थानिक कायद्यानुसार सहभागी होण्याच्या तुमच्या क्षमतेवर अतिरिक्त निर्बंध असू शकतात.

ही स्पर्धा नसून एक प्रायोगिक आणि विवेकाधीन बक्षीस कार्यक्रम आहे. आम्ही हा कार्यक्रम कधीही रद्द करू शकतो हे तुम्ही समजून घ्यावे, आणि बक्षीस द्यायचे की नाही हा निर्णय पूर्णपणे आमच्या विवेकानुसार असेल.

अर्थातच, तुमच्या चाचणीने कोणत्याही कायद्याचे उल्लंघन करू नये, किंवा तुमचा स्वतःचा नसलेला कोणताही डेटा विस्कळीत करू नये किंवा धोक्यात आणू नये.