Zaifliklar va mukofotlar

Biz aniqlangan zaifliklar yoki xavfsizlik bilan bogʻliq muammolar uchun mukofot toʻlaymiz. Mukofot olish uchun quyidagi shartlar bajarilishi kerak.

#1 Zaiflik noyob boʻlishi kerak 
Agar bir nechta xabar olsak, birinchi xabar bergan kishi mukofot oladi. Kelajakda yangi zaifliklarni topishga undash uchun oʻz ixtiyorimizga koʻra, ikkinchi darajali xabar berganlarga nominal haq toʻlashimiz mumkin.

#2 Zaiflikni takrorlash mumkin boʻlishi kerak
Takrorlab boʻlmaydigan zaifliklar uchun toʻlov qilmaymiz. Takrorlab boʻlmaydigan zaiflikni koʻrsatuvchi YouTube videolari uchun ham mukofot toʻlamaymiz.

#3 Hujum stsenariysi boʻlishi kerak
Hujum bizning tizimlarimiz orqali tarqatish imkoniyatiga ega boʻlishi kerak. Iltimos, tarqatish imkoniyatini tushuntiring. Masalan, bizning API'dan foydalanib, zararli skriptlar yozish hisobga olinmaydi, chunki bu zararli skriptli sahifa yozishdan farq qilmaydi.
 

Mukofot miqdori qanday aniqlanadi

Yuqoridagi har bir toifa uchun toʻlov oraligʻi mavjud. Yaroqli xabar ushbu oraliqning qayerida joylashishi uchta omilga bogʻliq:

Ekspluatatsiya uchun talab qilinadigan imtiyoz. Autentifikatsiyasiz ekspluatatsiya qilinadigan xatolar oraliqning yuqori qismiga tushadi. Autentifikatsiyalangan foydalanuvchini talab qiladigan xatolar oʻrta qismga tushadi. Imtiyozli kontekstni (jamoa administratori, jamoa egasi, pullik reja, ichki xodimlar) talab qiladigan xatolar quyi qismga tushadi.

Taʼsir doirasi. Barcha foydalanuvchilar yoki barcha xaritalarga taʼsir qiluvchi zaifliklar uchun hujumchi allaqachon aʼzo boʻlgan bitta akkaunt yoki bitta jamoaga taʼsir qiluvchi zaifliklarga qaraganda koʻproq toʻlanadi.

Qaytariluvchanlik. Taʼsirlangan foydalanuvchi oddiy jarayonlar orqali (masalan, parolni tiklash) bartaraf eta oladigan zarar uchun kamroq toʻlanadi, saqlanib qoladigan yoki bartaraf etish uchun bizning aralashuvimizni talab qiladigan zarar uchun esa koʻproq toʻlanadi.

Xabar sifati ham hisobga olinadi. Ishlaydigan proof of concept, asosiy sababni tahlil qilish va tuzatish boʻyicha taklifni oʻz ichiga olgan aniq tavsif, hatto texnik taʼsirning oʻzi oʻrta oraliqqa tushsa ham, oraliqning yuqori qismiga loyiq boʻlishi mumkin. Beparvo yoki taxminiy xabarlar quyi qismga tushishi mumkin.

Qamrovdan tashqari

Quyidagilar mukofotga loyiq emas:

Anonim jamoat xaritalari. Egasi yoʻq va har kim tahrirlashi mumkin boʻlgan xaritalar uzoq vaqtdan beri mavjud jamoat xususiyatidir. Anonim xaritani ustidan yozib saqlash zaiflik hisoblanmaydi.

Roʻyxatga kiritilmagan (URL — kirish maʼlumoti sifatida) xaritalar. LockView boʻlmagan xaritalar, roʻyxatga kiritilmagan YouTube videosi kabi, URL'ni biladigan har bir kishi uchun ataylab ochiq. Xarita kodini bilgan holda bunday xaritaga kirish yoki uni saqlash ataylab shunday ishlab chiqilgan.

Biz joylashtiradigan, lekin qoʻllab-quvvatlamaydigan uchinchi tomon dasturiy taʼminoti. Xizmatlarimiz bilan birga joylashtirilgan GeoServer, Tomcat yoki boshqa uchinchi tomon steklaridagi muammolar. Iltimos, bularni tegishli yuqori oqim (upstream) taʼminotchilariga xabar qiling.

Aniq hujum stsenariysiz yetishmayotgan xavfsizlik sarlavhalari. CSP, X-Frame-Options, HSTS va shu kabilar haqidagi, ishlaydigan ekspluatatsiyasiz xabarlar mukofotga loyiq emas.

Alohida holda tezlikni cheklash. Tezlikni cheklash xavfsizlik uchun muhim boʻlmagan endpointlarda uning yoʻqligi, suiisteʼmol stsenariysi koʻrsatilmagan holda.

AI'dan foydalanish

Triaj uchun dastlabki tekshiruvni amalga oshirishda biz AI'dan foydalanamiz. U baʼzan xato qiladi, biz har bir xabarni inson tomonidan ham koʻrib chiqamiz, ammo agar AI dastlab katta xatoga yoʻl qoʻygan deb oʻylasangiz, yuborilgan xabarga qoʻshimcha kontekst bilan izoh qoʻshing va hokazo..compromise any

Burp'dan foydalanish / Endpointlar

Tezkor skanerlash uchun biz burp kabi vositalardan foydalanamiz. Odatda bunday skanerlashlarni bizda oʻtkazmasligingizni afzal koʻramiz, chunki minglab soʻrovlar serverlarimizga ortiqcha yuk tushiradi. 

Vaqtingizni tejash uchun mana endpointlar: 

https://www.scribblemaps.com/ 
(Agar skanerlasangiz, /maps/ yoʻlini bloklang, chunki bu skanerlarni cheksiz aylanishga olib boradi) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Toʻlovlar

Toʻlov muddatlari kafolatlanmaydi. Biz oylik byudjet ajratamiz, jiddiy muammolar har doim birinchi boʻlib toʻlanadi. Toʻlovlarni faqat wise yoki paypal orqali amalga oshiramiz.
 

Mukofotdan mahrum etish

Xabarni tekshirish yoki qabul qilish mukofot olish uchun huquqni belgilaydi, ammo shartsiz huquqni emas. Tadqiqotchining xatti-harakati ushbu shartlarni yoki yaxshi niyatdagi muvofiqlashtirilgan oshkor qilish tamoyillarini buzsa, ScribbleMaps mukofotni butunlay yoki qisman kamaytirishi yoki toʻlamasligi mumkin. Mahrum etish ScribbleMaps'ning ixtiyoriga koʻra amalga oshiriladi; sabab xabarda qayd etiladi va tadqiqotchiga bildiriladi.

Aks holda toʻlanishi lozim boʻlgan mukofot quyidagilardan istalgan biri uchun bekor qilinishi mumkin:

1. Muddatidan oldin yoki tahdid bilan ommaviy oshkor qilish. ScribbleMaps muammoni bartaraf etmagunga va oshkor qilishga ruxsat bermagunga qadar zaiflikni ommaviy ravishda, uchinchi shaxslarga yoki ommaviy axborot vositalari/ijtimoiy tarmoq kanallari orqali oshkor qilish yoki oshkor qilish bilan tahdid qilish. Muvofiqlashtirilgan oshkor qilish dasturning shartidir.
2. Majburlash, tovlamachilik yoki taʼqib qilish. Oshkor qilmaslikni toʻlovga bogʻlash; xodimlarni tahdid qilish yoki ularga bosim oʻtkazish; yoki toʻlovni takror-takror yoki haqoratomuz talab qilish uchun yordam, hisob-kitob yoki xabar beruvchi kanallaridan foydalanish. Mukofot holati boʻyicha savollar bounty portali orqali berilishi kerak, ScribbleMaps ularga javob beradi.
3. Bir nechta yoki takroriy shaxslar. Yuborilgan xabarlar hajmini yoki mukofotlarni oshirish uchun bir nechta tadqiqotchi akkauntini yuritish yoki alohida akkauntlar mukofotlarini umumiy toʻlov manziliga yoʻnaltirish.
4. Til biriktirish yoki sunʼiy ravishda yaratilgan topilmalar. Akkauntlar boʻylab xabarlarni muvofiqlashtirish, proof of concept'da boshqa ishtirokchining akkaunti yoki xaritalaridan “jabrlanuvchi” sifatida foydalanish yoki mahsulot yarata olmaydigan maʼlumotlar holatini sunʼiy ravishda yaratib, soʻng hosil boʻlgan maʼlumotlarni sizib chiqish sifatida koʻrsatish.
5. Kam harakatli yoki avtomatlashtirilgan spam. Avtomatik skaner natijalarini, eskirgan kutubxona/CVE roʻyxatlarini yoki maʼlum qamrovdan tashqari holatlarni (qarang: Qamrovdan tashqari) ScribbleMaps'ga xos, isbotlangan ekspluatatsiyasiz ommaviy yuborish.
6. Zararli yoki noqonuniy sinovlar. Muammoni koʻrsatish uchun zarur boʻlgan minimumdan tashqari boshqa foydalanuvchilarning maʼlumotlariga kirish, ularni oʻzgartirish yoki chiqarib olish; xizmatni buzish yoki rad etish; xodimlar yoki foydalanuvchilarga nisbatan ijtimoiy muhandislik qoʻllash; yoki dastur qamrovi yoki amaldagi qonun bilan taqiqlangan har qanday faoliyat.
7. Notoʻgʻri talqin qilish yoki firibgarlik. Takrorlash bosqichlari, dalillar, aniqlangan sanalar yoki shaxsni soxtalashtirish.

Izohlar.

• Mahrum etish qisman (kamaytirilgan mukofot) yoki toʻliq ($0) boʻlishi mumkin.
• Noxolis xatti-harakat uchun mahrum etilgan tasdiqlangan xabar xuddi shu topilma uchun qayta loyiq boʻlmaydi.
• Ushbu shartlar xabar yuborilgan paytdan boshlab qoʻllaniladi va xabar qabul qilinganda yuboriladigan qabul qilish xabarnomasida takrorlanadi.

Xabar yuborish uchun

Iltimos, quyidagi manzilga tashrif buyuring: https://api.scribblemaps.com/vulnerabilities

Saytda xabarlarni AI orqali yuborish boʻyicha koʻrsatmalar ham mavjud. Xabar yuborish uchun tizimga kirishingiz kerak.

Huquqiy jihatlar

Sanksiyalar roʻyxatidagi shaxslarga yoki sanksiyalar roʻyxatidagi mamlakatlarda (masalan, Kuba, Eron, Shimoliy Koreya, Sudan va Suriya) boʻlgan shaxslarga mukofot bera olmaymiz. Istiqomat qilish va fuqarolik mamlakatingizga qarab soliq oqibatlari uchun oʻzingiz javobgarsiz. Mahalliy qonunchiligingizga qarab, ishtirok etish imkoniyatingizga qoʻshimcha cheklovlar boʻlishi mumkin.

Bu tanlov emas, balki eksperimental va ixtiyoriy mukofot dasturidir. Dasturni istalgan vaqtda bekor qilishimiz mumkinligini va mukofot toʻlash yoki toʻlamaslik haqidagi qaror toʻliq bizning ixtiyorimizda ekanligini tushunishingiz kerak.

Albatta, sinovlaringiz hech qanday qonunni buzmasligi, shuningdek, oʻzingizniki boʻlmagan maʼlumotlarni buzmasligi yoki xavf ostiga qoʻymasligi kerak.