Vulnerabilități și recompense

Plătim recompense pentru vulnerabilitățile descoperite sau problemele legate de securitate. Pentru a fi plătit, trebuie să fie adevărate următoarele aspecte.

#1 Vulnerabilitatea trebuie să fie unică 
Dacă primim mai multe rapoarte, primul care raportează va primi recompensa. Putem plăti, la discreția noastră, taxe nominale de notificare secundară pentru a încuraja descoperirile viitoare.

#2 Vulnerabilitatea trebuie să fie reproductibilă
Nu vom plăti pentru nicio vulnerabilitate care nu poate fi reprodusă. Nu vom plăti recompense pentru videoclipuri de pe YouTube care demonstrează o vulnerabilitate ce nu poate fi reprodusă.

#3 Trebuie să aibă un scenariu de atac
Atacul trebuie să aibă capacitate de distribuție prin sistemele noastre. Vă rugăm să explicați capacitatea de distribuție. De exemplu, exploatarea API-ului nostru și apoi scrierea de scripturi malițioase nu s-ar lua în considerare, deoarece acest lucru nu ar fi diferit de simpla scriere a unei pagini cu scripturi malițioase.
 

Cum se determină valoarea recompenselor

Fiecare categorie de mai sus are un interval de plată. Locul în care se încadrează un raport valid în intervalul său depinde de trei factori:

Privilegiul necesar pentru exploatare. Bug-urile neautentificate se încadrează în partea superioară a intervalului. Bug-urile care necesită un utilizator autentificat se încadrează la mijloc. Bug-urile care necesită un context privilegiat (team admin, team owner, plan plătit, personal intern) se încadrează în partea de jos.

Raza de impact. Vulnerabilitățile care afectează fiecare utilizator sau fiecare hartă sunt plătite mai bine decât vulnerabilitățile care afectează un singur cont sau o singură echipă din care atacatorul face deja parte.

Reversibilitatea. Daunele pe care utilizatorul afectat le poate anula prin fluxuri de lucru normale (de exemplu, o resetare a parolei) sunt plătite mai puțin decât daunele care persistă sau care necesită intervenția noastră pentru a fi anulate.

Calitatea raportului este, de asemenea, un factor. O descriere clară cu o dovadă de concept funcțională, o analiză a cauzei principale și o sugestie de remediere poate obține partea superioară a intervalului, chiar și atunci când impactul tehnic singur s-ar încadra la mijloc. Rapoartele neglijente sau speculative pot obține partea de jos.

În afara ariei de aplicare

Următoarele nu sunt eligibile pentru o recompensă:

Hărți comunitare anonime. Hărțile fără proprietar care pot fi editate de oricine sunt o funcționalitate comunitară de lungă durată. Salvarea peste o hartă anonimă nu este o vulnerabilitate.

Hărți nelistate (URL ca acreditare). Hărțile fără LockView sunt accesibile în mod intenționat pentru oricine cunoaște adresa URL, similar unui videoclip nelistat de pe YouTube. Accesarea sau salvarea unei astfel de hărți prin cunoașterea codului său de hartă este conform proiectului.

Software terță parte pe care îl găzduim, dar nu îl întreținem. Probleme în GeoServer, Tomcat sau alte stive terțe implementate alături de serviciile noastre. Vă rugăm să raportați acestea dezvoltatorilor upstream respectivi.

Antete de securitate lipsă fără un scenariu de atac concret. Rapoartele despre CSP, X-Frame-Options, HSTS etc. fără un exploit funcțional nu sunt eligibile.

Limitarea ratei în mod izolat. Lipsa limitării ratei pe endpoint-uri unde limitarea ratei nu este critică pentru securitate, fără un scenariu de abuz demonstrat.

Utilizarea IA

Utilizăm inteligența artificială pentru a efectua validarea inițială pentru triaj. Uneori face greșeli, efectuăm revizuiri umane pentru fiecare, totuși, dacă credeți că IA a făcut o greșeală majoră inițial, adăugați o notă la trimitere cu context suplimentar etc..compromiteți orice

Utilizarea Burp / Endpoint-uri

Folosim instrumente precum burp pentru scanări rapide. În general, preferăm să nu efectuați aceste scanări asupra noastră, deoarece trimiterea a mii de solicitări pune o încărcare inutilă pe serverele noastre. 

Pentru a vă economisi timp, iată câteva endpoint-uri: 

https://www.scribblemaps.com/ 
(Dacă efectuați o scanare, blocați calea /maps/, deoarece aceasta va trimite scanerele într-o fundătură) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Plăți

Nu există garanții privind termenele de plată. Alocăm un buget lunar, problemele grave fiind întotdeauna plătite primele. Efectuăm plăți doar prin wise sau paypal.
 

Pierderea dreptului la recompensă

Validarea sau acceptarea unui raport stabilește eligibilitatea pentru o recompensă, nu un drept necondiționat la aceasta. ScribbleMaps poate reduce sau reține o recompensă în totalitate sau în parte atunci când conduita unui cercetător încalcă acești termeni sau principiile divulgării coordonate cu bună-credință. Pierderea dreptului este la discreția ScribbleMaps; motivul este înregistrat în raport și comunicat cercetătorului.

O recompensă care altfel ar fi fost plătibilă poate fi pierdută pentru oricare dintre următoarele:

1. Divulgare publică prematură sau amenințarea cu aceasta. Divulgarea vulnerabilității — sau amenințarea cu divulgarea acesteia — în mod public, către terți sau prin canale media/sociale înainte ca ScribbleMaps să fi remediat problema și să fi autorizat divulgarea. Divulgarea coordonată este o condiție a programului.
2. Constrângere, extorcare sau hărțuire. Condiționarea nedivulgării de efectuarea plății; amenințarea sau presarea personalului; sau utilizarea canalelor de asistență, facturare sau raportare pentru a solicita în mod repetat sau abuziv plata. Întrebările privind starea recompensei ar trebui adresate prin portalul de recompense, la care ScribbleMaps va răspunde.
3. Identități multiple sau duplicate. Operarea a mai mult de un cont de cercetător sau direcționarea recompenselor pentru conturi separate către o adresă de plată comună, pentru a umfla volumul de trimiteri sau recompense.
4. Complicitate sau constatări fabricate. Coordonarea trimiterilor între conturi, utilizarea contului sau hărților unui alt participant ca „victimă” într-o dovadă de concept, sau fabricarea unei stări a datelor pe care produsul nu o poate produce și apoi citarea datelor rezultate ca fiind o scurgere.
5. Spam automatizat sau cu efort redus. Trimiteri în masă de rezultate ale scanerelor automate, liste de biblioteci învechite/CVE sau elemente cunoscute ca fiind în afara ariei de aplicare (consultați În afara ariei de aplicare) fără un exploit demonstrat, specific pentru ScribbleMaps.
6. Testare dăunătoare sau ilegală. Accesarea, modificarea sau exfiltrarea datelor altor utilizatori dincolo de minimul necesar pentru a demonstra problema; degradarea sau blocarea serviciului; inginerie socială asupra personalului sau utilizatorilor; sau orice activitate interzisă de aria de aplicare a programului sau de legea aplicabilă.
7. Denaturarea faptelor sau fraudă. Falsificarea pașilor de reproducere, a dovezilor, a datelor de descoperire sau a identității.

Note.

• Pierderea dreptului poate fi parțială (o recompensă redusă) sau totală ($0).
• Un raport validat pentru care s-a pierdut dreptul din cauza conduitei necorespunzătoare nu mai este eligibil pentru aceeași constatare.
• Acești termeni se aplică din momentul trimiterii și sunt reformulați în notificarea de acceptare trimisă atunci când un raport este acceptat.

Pentru a trimite un raport

Vă rugăm să vizitați: https://api.scribblemaps.com/vulnerabilities

Site-ul include, de asemenea, instrucțiuni despre cum să trimiteți rapoarte prin IA. Trebuie să vă autentificați pentru a trimite un raport.

Aspecte juridice

Nu putem acorda recompense persoanelor care se află pe liste de sancțiuni sau care se află în țări (de exemplu, Cuba, Iran, Coreea de Nord, Sudan și Siria) aflate pe liste de sancțiuni. Sunteți responsabil pentru orice implicații fiscale în funcție de țara de reședință și cetățenie. Pot exista restricții suplimentare privind capacitatea dumneavoastră de a participa, în funcție de legislația locală.

Aceasta nu este o competiție, ci mai degrabă un program experimental și discreționar de recompense. Trebuie să înțelegeți că putem anula programul în orice moment, iar decizia de a plăti sau nu o recompensă trebuie să fie în întregime la discreția noastră.

Desigur, testarea dumneavoastră nu trebuie să încalce nicio lege și nu trebuie să perturbe sau să compromită date care nu vă aparțin.