Програма за разкриване на уязвимости
LiveAgent се стреми да запази своята услуга безопасна за всички, а сигурността на данните е от първостепенна важност. Нашата програма за разкриване на уязвимости е предназначена да минимизира въздействието на всички дефекти в сигурността върху нашите инструменти или техните потребители. Програмата за разкриване на уязвимости на LiveAgent обхваща софтуер, който е частично или основно написан от Quality Unit.
Ако сте изследовател в областта на сигурността и сте открили уязвимост в сигурността на услугата, ценим вашата помощ при разкриването й пред нас в частен порядък и даването ни на възможност да я поправим преди публикуването на технически детайли.
LiveAgent ще си сътрудничи с изследователи в областта на сигурността, когато уязвимостите бъдат докладвани на нас, както е описано тук. Ще валидираме, ще отговорим и ще поправим уязвимостите в подкрепа на нашето ангажиране към сигурност и поверителност. Няма да предприемем правни действия срещу, не ще спрем или прекратим достъпа до услугата на тези, които открият и докладват уязвимости в сигурността отговорно. LiveAgent запазва всички свои правни права в случай на несъответствие.
Докладване
Споделете подробностите на всички подозирани уязвимости с екипа за разработка на LiveAgent на support@liveagent.com . Моля, не разкривайте публично тези подробности извън този процес без явно разрешение.
При докладване на всички подозирани уязвимости, моля, включете възможно най-много информация. Ако желаете да подадете няколко доклада наведнъж, моля подайте само един доклад (най-важният, ако е възможно) и изчакайте отговор.
Компенсация
Радваме се да предложим награда за информация за уязвимости, която ни помага да защитим нашите клиенти, като благодарност на изследователите в областта на сигурността, които избират да участват в нашата програма за намиране на грешки. Редовната награда е $100 за уязвимост, подадена и проверена от нашия екип за разработка.
Ще наградим само първия докладчик на уязвимост. Дублиращите се доклади няма да бъдат награждавани.
Обхват
Можете да тествате само срещу акаунт на LiveAgent, за който сте собственик на акаунта или сте агент, упълномощен от собственика на акаунта да проведе такова тестване. Например:
- yourdomain.ladesk.com
Награждавани типове уязвимости
Ще ви наградим за следните типове уязвимости:
- Отдалечено изпълнение на команди (RCE)
- SQL инжекция
- Счупена аутентификация
- Счупено управление на сесии
- Заобикаляне на контрол на достъпа
- Кръстосано скриптиране (XSS)
- Кръстосана заявка за подделка (CSRF)
- Отворено пренасочване на URL
- Преминаване на директория
Забележка: Докладите за случаи, когато нападателят може да застраши само собствения си акаунт с роля администратор, няма да бъдат награждавани с награда. XSS, причинено от администратор, няма да бъде награждавано с награда.
За да се квалифицира, уязвимостта трябва да съществува в най-новото публично издание (включително официално издадени публични бета версии) на софтуера. Само уязвимостите в сигурността ще се квалифицират. Щяхме да обичаме, ако хората докладват други грешки чрез подходящите канали, но тъй като целта на тази програма е да поправи уязвимостите в сигурността, само грешки, които водят до уязвимости в сигурността, ще бъдат допустими за награди. Други грешки ще бъдат приемани по наша преценка.
Насоки
Моля, придържайте се към следните насоки, за да бъдете допустими за награди по тази програма за разкриване:
- Не модифицирайте или изтривайте трайно данни, хоствани от LiveAgent.
- Не осъществявайте достъп до неявни данни на LiveAgent повече, отколкото е необходимо, за да демонстрирате уязвимостта.
- Не правете DDoS или по друг начин не нарушавайте, прекъсвайте или влошавайте нашите вътрешни или външни услуги.
- Не споделяйте поверителна информация, получена от LiveAgent, включително, но не ограничено до информация за плащане на членове или дарители, с трета страна.
- Социалното инженерство е извън обхвата. Не изпращайте фишинг имейли на или не използвайте други техники на социално инженерство срещу никого, включително персонала на QualityUnit, членове, доставчици или партньори.
Освен това, моля, дайте ни поне 90 дни, за да поправим уязвимостта, преди да я обсъждате публично или да пишете за нея. Нашият екип вярва, че изследователите в областта на сигурността имат право да докладват своите изследвания и че разкриването е много полезно, и разбира, че е силно субективен въпрос кога и как да задържим детайли, за да смекчим риска, че информацията за уязвимостта ще бъде неправилно използвана. Ако смятате, че по-ранното разкриване е необходимо, моля, уведомете ни, за да можем да започнем разговор.
Дневник на промените
Ние публично информираме за всички поправени проблеми със сигурността чрез нашия дневник на промените . Проблемите, свързани със сигурност, са маркирани с етикет [Security].
