Polityka ujawniania podatności

1. Zakres

Niniejsza polityka dotyczy publicznych witryn, hostowanych aplikacji i interfejsów API prowadzonych przez Sytance Technologies Limited, które zawierają łącze do tej strony, w tym Usługi Sytance.

Środowiska Klientów, systemy zarządzane przez Klientów, usługi i integracje podmiotów trzecich, projekty open source, których nie utrzymujemy, oraz infrastruktura, której nie posiadamy ani nie kontrolujemy, nie są objęte zakresem. Komponent podmiotu trzeciego wykorzystywany przez Sytance jest objęty zakresem tylko w takim stopniu, w jakim zgłoszenie dotyczy jego wpływu na usługę prowadzoną przez Sytance.

Jeśli własność lub zakres są niejasne, skontaktuj się z security@sytance.com i zaczekaj na potwierdzenie przed kontynuowaniem.

2. Upoważnione badania prowadzone w dobrej wierze

Badania bezpieczeństwa są dozwolone na podstawie niniejszej polityki wyłącznie wtedy, gdy są prowadzone w dobrej wierze, mieszczą się w jej zakresie, są zgodne z poniższymi zasadami i ograniczają się do czynności racjonalnie niezbędnych do potwierdzenia i zgłoszenia podejrzenia podatności.

• Korzystaj wyłącznie z kont i danych, które należą do Ciebie lub do których używania masz uprawnienia.
• Przeprowadzaj tylko testy niezbędne do potwierdzenia problemu. Utrzymuj liczbę żądań na tyle niską, aby nie zakłócały działania Usługi ani nie wpływały na innych użytkowników.
• Natychmiast przerwij testy, jeśli napotkasz dane, dane uwierzytelniające lub informacje poufne innej osoby.
• Nie przechowuj, nie zmieniaj, nie usuwaj, nie ujawniaj ani nie pobieraj masowo danych.
• Nie ustanawiaj trwałego dostępu, nie wdrażaj złośliwego oprogramowania ani nie wykorzystuj podatności w innym celu niż jej weryfikacja i zgłoszenie.
• Niezwłocznie zgłoś problem, zachowaj jego szczegóły w poufności i zapewnij nam uzasadnioną możliwość zbadania go i usunięcia.

3. Testy zabronione

• Testy odmowy usługi, obciążeniowe, przeciążeniowe lub wyczerpujące zasoby.
• Inżynieria społeczna, phishing, ataki typu credential stuffing lub password spraying.
• Ataki fizyczne lub testowanie obiektów i infrastruktury podmiotów trzecich.
• Działania destrukcyjne, uszkadzanie danych, masowe tworzenie kont lub zautomatyzowane skanowanie na dużą skalę.
• Testy naruszające prawo lub prawa innej osoby.
• Groźby, wymuszenia lub żądania zapłaty.

4. Informacje, które należy podać w zgłoszeniu

Zwięzłe zgłoszenie zawierające kroki odtworzenia pomaga nam bezpiecznie ocenić problem i szybciej na niego zareagować. Jeśli to możliwe, podaj:

• Domenę, adres URL, trasę API, funkcję lub komponent, którego dotyczy zgłoszenie.
• Jasny opis podatności i jej potencjalnego wpływu.
• Kroki odtworzenia z użyciem konta testowego i zanonimizowanych danych.
• Minimalny przykład potwierdzający podatność (PoC), żądanie i odpowiedź, zrzut ekranu lub fragment dziennika.
• Wszelkie warunki wstępne i zastosowane środki bezpieczeństwa.
• Preferowane dane kontaktowe.

5. Docelowe terminy odpowiedzi

Staramy się potwierdzić otrzymanie odpowiednio kompletnego zgłoszenia w ciągu trzech dni roboczych i przekazać wstępne wyniki oceny w ciągu dziesięciu dni roboczych. Gdy potwierdzony problem jest nadal aktywnie badany, staramy się informować o istotnych postępach co najmniej co dziesięć dni roboczych, jeśli zgłaszający podał prawidłowe dane kontaktowe.

Dzień roboczy oznacza dzień od poniedziałku do piątku, z wyłączeniem dni ustawowo wolnych od pracy w Hongkongu. Są to docelowe terminy komunikacji, a nie gwarantowane terminy usunięcia problemu. Niekompletne zgłoszenie, duża liczba zgłoszeń, nietypowa złożoność techniczna lub zależność od podmiotu trzeciego mogą wydłużyć ten czas; jeśli będzie to wykonalne, poinformujemy o zmienionym przewidywanym terminie.

6. Sposób obsługi zgłoszenia

• Otrzymanie i śledzenie — rejestrujemy zgłoszenie, sprawdzamy, czy wskazany zasób jest objęty zakresem, i ustalamy kanał kontaktu ze zgłaszającym.
• Wstępna kwalifikacja i odtworzenie — oceniamy przekazane informacje, próbujemy odtworzyć zachowanie, usuwamy duplikaty i w razie potrzeby prosimy o wyjaśnienia.
• Ocena i priorytetyzacja ryzyka — po potwierdzeniu problemu oceniamy jego dotkliwość, możliwość wykorzystania, objęte nim dane i użytkowników, ekspozycję, zabezpieczenia kompensujące i dowody aktywnego wykorzystania.
• Usunięcie i weryfikacja — odpowiedni zespół opracowuje środek ograniczający ryzyko lub poprawkę, testuje ją, zarządza właściwymi zależnościami wydania lub podmiotów trzecich i weryfikuje wynik.
• Zamknięcie i ujawnienie — informujemy zgłaszającego o wyniku, który możemy przekazać, koordynujemy ewentualne publiczne ujawnienie i rozważamy, czy właściwe jest opublikowanie komunikatu bezpieczeństwa lub podziękowania.

7. Ochrona badaczy działających w dobrej wierze

Jeśli dołożysz starań w dobrej wierze, aby przestrzegać niniejszej polityki, uznamy Twoje badania za upoważnione w zakresie, w jakim możemy zgodnie z prawem udzielić takiego upoważnienia, i nie wszczniemy postępowania prawnego wyłącznie z powodu przypadkowego działania w dobrej wierze mieszczącego się w jej zakresie.

Jeśli podmiot trzeci wszcznie postępowanie prawne dotyczące działania zgodnego z niniejszą polityką, możemy potwierdzić, że działanie to było prowadzone w ramach naszego procesu ujawniania podatności. Nie możemy upoważniać do działań w imieniu innej organizacji ani zagwarantować reakcji podmiotu trzeciego lub organu publicznego.

Niniejsza ochrona nie upoważnia do działań niezgodnych z prawem, lekkomyślnych, złośliwych ani wymuszających, nie uchyla praw innych osób i nie obejmuje działań kontynuowanych po naszym żądaniu ich przerwania.

8. Skoordynowane ujawnianie i uznanie wkładu

Podczas naszego dochodzenia zachowuj w poufności podejrzenie podatności, przykład potwierdzający podatność (PoC), informacje o objętych problemem klientach i szczegóły działań naprawczych. Zazwyczaj dążymy do skoordynowanego ujawnienia w ciągu 90 dni kalendarzowych od potwierdzenia otrzymania odpowiednio kompletnego zgłoszenia. Przed publikacją skontaktuj się z nami, abyśmy mogli uzgodnić zakres techniczny i termin umożliwiający użytkownikom ochronę.

Właściwy termin ujawnienia może być wcześniejszy lub późniejszy, zależnie od dotkliwości, aktywnego wykorzystywania, ryzyka dla klientów, gotowości wydania i zaangażowanych podmiotów trzecich. Nie będziemy wnioskować o przedłużenie wyłącznie po to, by uniknąć kontroli; jeśli potrzebujemy więcej czasu, wyjaśnimy przyczynę w zakresie, który możemy bezpiecznie ujawnić.

Możemy opublikować komunikat, jeśli ujawnienie pomoże użytkownikom się chronić. Przed wymienieniem zgłaszającego z nazwiska uzgodnimy z nim sposób przypisania autorstwa.

Niniejsza polityka nie stanowi programu nagród za błędy i nie daje prawa do zapłaty, nagrody, zatrudnienia ani innego wynagrodzenia.