Sårbarheiter og dusørar

Vi betaler dusørar for oppdaga sårbarheiter eller tryggleiksrelaterte problem. For å få utbetalt dusør må følgjande vere oppfylt.

#1 Sårbarheita må vere unik 
Dersom vi får fleire rapportar, er det den første som rapporterer som får dusøren. Vi kan, etter eige skjønn, betale ut symbolske sekundære varslingsgebyr for å oppmuntre til framtidige funn.

#2 Sårbarheita må kunne reproduserast
Vi betaler ikkje for sårbarheiter som ikkje kan reproduserast. Vi betaler ikkje ut dusørar for YouTube-videoar som viser ei sårbarheit som ikkje kan reproduserast.

#3 Må ha eit angrepsscenario
Angrepet må ha spreiingsevne gjennom våre system. Forklar spreiingsevna. Dersom ein til dømes brukar API-et vårt og deretter skriv skadelege skript, tel ikkje det, sidan det ikkje er annleis enn å berre skrive ei side med skadelege skript.
 

Slik blir dusørbeløpa fastsette

Kvar kategori ovanfor har eit utbetalingsspenn. Kvar ein gyldig rapport hamnar innanfor spennet, avheng av tre faktorar:

Privilegium som trengst for å utnytte sårbarheita. Feil som ikkje krev innlogging, hamnar øvst i spennet. Feil som krev ein innlogga brukar, hamnar i midten. Feil som krev ein privilegert kontekst (teamadministrator, teameigar, betalt abonnement, intern tilsett), hamnar nedst.

Spreiingsomfang. Sårbarheiter som råkar alle brukarar eller alle kart, gir høgare utbetaling enn sårbarheiter som råkar éi enkelt konto eller eitt enkelt team som angriparen allereie er medlem av.

Reversibilitet. Skade som den råka brukaren kan angre gjennom vanlege arbeidsprosessar (til dømes tilbakestilling av passord), gir lågare utbetaling enn skade som varer ved eller som krev at vi grip inn for å rette opp.

Kvaliteten på rapporten tel også med. Ei tydeleg skildring med eit fungerande proof of concept, rotårsaksanalyse og framlegg til utbetring kan gi toppen av spennet sjølv om det tekniske omfanget åleine ville gitt midten. Slurvete eller spekulative rapportar kan få botnen.

Utanfor omfanget

Følgjande kan ikkje gi dusør:

Anonyme fellesskapskart. Kart utan eigar som kan redigerast av kven som helst, er ein gamal fellesskapsfunksjon. Å lagre over eit anonymt kart er ikkje ei sårbarheit.

Uoppførte (URL-som-påloggingsinformasjon) kart. Kart utan LockView er med vilje tilgjengelege for alle som kjenner URL-en, på same måte som ein uoppført YouTube-video. Å opne eller lagre eit slikt kart ved å kjenne kartkoden er slik det er meint å fungere.

Tredjepartsprogramvare vi driftar, men ikkje vedlikeheld. Problem i GeoServer, Tomcat eller andre tredjepartsløysingar som køyrer saman med tenestene våre. Rapporter desse til dei respektive oppstraumsvedlikehaldarane.

Manglande tryggleikshovud utan eit konkret angrepsscenario. Rapportar om CSP, X-Frame-Options, HSTS osv. utan ein fungerande exploit kan ikkje gi dusør.

Ratebegrensing åleine. Mangel på ratebegrensing på endepunkt der ratebegrensing ikkje er tryggleikskritisk, utan eit påvist misbruksscenario.

Bruk av KI

Vi brukar KI til første validering i samband med triage. Av og til gjer han feil, og vi gjer menneskeleg gjennomgang av alle rapportar, men om du meiner KI-en har gjort ein stor feil i første omgang, legg ved ein merknad i innsendinga med meir kontekst osv..compromise any

Bruk av Burp / endepunkt

Vi brukar verktøy som Burp til raske skanningar. Vi føretrekk generelt at du ikkje gjer slike skanningar mot oss, sidan tusenvis av førespurnader berre set unødvendig last på serverane våre. 

For å spare deg for litt tid er her nokre endepunkt: 

https://www.scribblemaps.com/ 
(Dersom du køyrer ei skanning, blokker /maps/-stien, sidan dette sender skannarar ned i eit kaninhòl) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Utbetalingar

Det finst ingen garantiar for tidsfristar for utbetaling. Vi set av eit månadleg budsjett, og alvorlege problem blir alltid betalte først. Vi betaler berre ut via Wise eller PayPal.
 

Fortapt dusør

Å validere eller godta ein rapport gir rett til å kunne få ei belønning, ikkje ein ubetinga rett til ei. ScribbleMaps kan redusere eller halde tilbake ein dusør heilt eller delvis dersom åtferda til ein forskar bryt desse vilkåra eller prinsippa for koordinert openberring i god tru. Fortaping skjer etter skjønnet til ScribbleMaps, og grunnen blir notert på rapporten og gitt til forskaren.

Ein dusør som elles ville vore utbetalbar, kan fortapast av ein av følgjande grunnar:

1. Førehands eller truga offentleg openberring. Å openberre sårbarheita — eller true med å openberre henne — offentleg, til tredjepartar eller gjennom media- eller sosiale kanalar før ScribbleMaps har retta problemet og godkjent openberring. Koordinert openberring er ein føresetnad for programmet.
2. Tvang, utpressing eller trakassering. Å gjere teieplikt avhengig av betaling; å true eller presse tilsette; eller å bruke støtte-, fakturerings- eller rapportørkanalar til gjentekne eller krenkjande krav om betaling. Spørsmål om status på belønning bør stillast gjennom dusørportalen, som ScribbleMaps vil svare på.
3. Fleire eller doble identitetar. Å drifte meir enn éi forskarkonto, eller å dirigere belønningar for separate kontoar til ei felles betalingsadresse, for å blåse opp talet på innsendingar eller belønningar.
4. Samarbeid eller konstruerte funn. Å koordinere innsendingar på tvers av kontoar, å bruke ein annan deltakar sin konto eller sine kart som «offer» i eit proof of concept, eller å konstruere ein datatilstand som produktet ikkje kan produsere og deretter vise til dei resulterande dataa som ein lekkasje.
5. Lågkvalitets- eller automatisert spam. Masseinnsending av automatisert skannarutdata, lister over utdaterte bibliotek/CVE-ar eller kjende element utanfor omfanget (sjå Utanfor omfanget) utan ein påvist, ScribbleMaps-spesifikk exploit.
6. Skadeleg eller ulovleg testing. Å få tilgang til, endre eller eksfiltrere andre brukarar sine data utover det som er minimum for å vise problemet; å svekke eller nekte teneste; å bruke sosial manipulering mot tilsette eller brukarar; eller kvar aktivitet som er forbode av programmets omfang eller gjeldande lov.
7. Feilframstilling eller svindel. Å forfalske reproduksjonssteg, bevis, oppdagingsdatoar eller identitet.

Merknader.

• Fortaping kan vere delvis (ei redusert belønning) eller full ($0).
• Ein validert rapport som blir fortapt på grunn av mistrivnad, kan ikkje få dusør på nytt for same funn.
• Desse vilkåra gjeld frå det augeblikket rapporten blir send inn, og blir gjentekne i godkjenningsvarselet som blir sendt når ein rapport blir godteken.

Slik sender du inn ein rapport

Gå til: https://api.scribblemaps.com/vulnerabilities

Nettstaden inneheld også rettleiing om korleis du kan sende inn rapportar via KI. Du må logge inn for å sende inn ein rapport.

Juridiske punkt

Vi kan ikkje gi belønningar til personar som står på sanksjonslister, eller som er i land (t.d. Cuba, Iran, Nord-Korea, Sudan og Syria) som står på sanksjonslister. Du har sjølv ansvaret for skattemessige konsekvensar avhengig av bustadland og statsborgarskap. Det kan gjelde ytterlegare restriksjonar for høvet ditt til å delta, avhengig av lokal lov.

Dette er ikkje ein konkurranse, men eit eksperimentelt og skjønnsbasert belønningsprogram. Du bør vite at vi kan avslutte programmet når som helst, og at avgjerda om vi betaler ei belønning eller ikkje, heilt og fullt er etter vårt skjønn.

Sjølvsagt må testinga di ikkje bryte noka lov, eller forstyrre eller kompromittere data som ikkje er dine eigne.