1. Úvod
Bezpečnost je základem našeho fungování. Vítáme hlášení od bezpečnostních výzkumníků, etických hackerů i široké veřejnosti, kteří nám pomáhají odhalovat a řešit možné zranitelnosti. Tyto zásady popisují, jak bezpečnostní problémy odpovědně nahlásit a co od nás můžete očekávat.
2. Rozsah
Tyto zásady se vztahují na zranitelnosti zjištěné ve webové aplikaci unofax na adrese unofax.com a v souvisejících rozhraních API. Do rozsahu nespadají:
• Služby třetích stran (např. zpracování plateb Square, Google Analytics)
• Sociální inženýrství nebo phishingové útoky na zaměstnance či uživatele unofax
• Útoky typu odepření služby (DoS/DDoS)
• Problémy fyzické bezpečnosti
• Zranitelnosti v softwaru nebo infrastruktuře, které unofax nevlastní
3. Jak nahlásit zranitelnost
Pokud zjistíte možnou bezpečnostní zranitelnost, nahlaste nám ji prosím e-mailem na adresu support@unofax.com. Uveďte co nejvíce podrobností:
• Popis zranitelnosti a jejího možného dopadu
• Postup, jak problém reprodukovat
• Veškeré podpůrné důkazy (snímky obrazovky, kód proof-of-concept, logy)
• Své jméno a kontaktní údaje (nepovinné, ale užitečné pro další komunikaci)
4. Naše závazky
Pokud zranitelnost nahlásíte v dobré víře a v souladu s těmito zásadami, zavazujeme se:
• Potvrdit přijetí vašeho hlášení do 3 pracovních dnů
• Poskytnout prvotní posouzení do 10 pracovních dnů
• Průběžně vás informovat o postupu při řešení problému
• Nepodnikat proti vám právní kroky kvůli výzkumné činnosti prováděné v souladu s těmito zásadami
• Uvést vás jako autora nálezu (budete-li si to přát), až budeme zranitelnost veřejně řešit
5. Pokyny pro výzkumníky
Aby váš výzkum probíhal odpovědně, dodržujte prosím tyto pokyny:
• Nepřistupujte k datům jiných uživatelů, neupravujte je ani je nemažte
• Nenarušujte ani nezhoršujte dostupnost služeb unofax
• Nezveřejňujte zranitelnost dříve, než budeme mít přiměřenou příležitost ji vyřešit
• Jednejte v dobré víře a vyhněte se jakýmkoli krokům, které by mohly poškodit unofax nebo jeho uživatele
• Testujte pouze účty, které vlastníte nebo k jejichž testování máte výslovné svolení
6. Právní ochrana (safe harbour)
Bezpečnostní výzkum prováděný v souladu s těmito zásadami považujeme za autorizovaný a proti výzkumníkům, kteří tyto pokyny dodržují, nebudeme podnikat právní kroky. Pokud proti vám třetí strana zahájí právní kroky kvůli činnosti prováděné v souladu s těmito zásadami, učiníme přiměřené kroky k tomu, aby bylo zřejmé, že vaše jednání bylo autorizované.
7. Výjimky
Následující typy nálezů obecně nejsou v rámci těchto zásad posuzovány:
• Chybějící bezpečnostní hlavičky, které nevedou k prokazatelnému zneužití
• Clickjacking na stránkách bez citlivých akcí
• Self-XSS (cross-site scripting, který ovlivňuje pouze vlastní relaci uživatele)
• Chybějící omezení počtu požadavků (rate limiting) bez doložení možnosti zneužití
• Zranitelnosti vyžadující zastaralé prohlížeče nebo zásuvné moduly
• Problémy zjištěné automatizovaným skenováním bez ručního ověření
8. Kontakt
Veškerá hlášení a dotazy prosím zasílejte e-mailem na adresu support@unofax.com.