Program Zverejňovania Zraniteľností
LiveAgent sa snaží udržať svoju službu bezpečnú pre všetkých a bezpečnosť údajov je mimoriadne dôležitá. Náš Program Zverejňovania Zraniteľností je určený na minimalizáciu vplyvu akýchkoľvek bezpečnostných chýb na naše nástroje alebo ich používateľov. Program Zverejňovania Zraniteľností LiveAgent pokrýva softvér čiastočne alebo primárne napísaný spoločnosťou Quality Unit.
Ak ste bezpečnostný výskumný pracovník a objavili ste bezpečnostnú zraniteľnosť v Službe, oceňujeme vašu pomoc pri jej súkromnom zverejnení nám a poskytnutí nám príležitosti ju opraviť pred zverejnením technických podrobností.
LiveAgent bude spolupracovať s bezpečnostnými výskumnými pracovníkmi, keď sú nám zraniteľnosti nahlásené tak, ako je tu popísané. Budeme validovať, reagovať a opravovať zraniteľnosti v podporu nášho záväzku k bezpečnosti a ochrane osobných údajov. Nebudeme podnikať právne kroky proti, pozastavovať alebo ukončovať prístup k Službe tých, ktorí zodpovedne objavujú a nahlasujú bezpečnostné zraniteľnosti. LiveAgent si vyhradzuje všetky svoje právne práva v prípade akéhokoľvek nedodržania.
Nahlasovanie
Zdieľajte podrobnosti o akýchkoľvek podozrivých zraniteľnostiach s Vývojovým Tímom LiveAgent na adrese support@liveagent.com . Prosím, nezverejňujte tieto podrobnosti verejne mimo tohto procesu bez výslovného povolenia.
Pri nahlasovaní akýchkoľvek podozrivých zraniteľností prosím zahrňte čo najviac informácií. Ak chcete odoslať viacero správ naraz, prosím odošlite iba jednu správu (najdôležitejšiu, ak je to možné) a čakajte na odpoveď.
Kompenzácia
S potešením ponúkame odmenu za informácie o zraniteľnostiach, ktoré nám pomáhajú chrániť našich zákazníkov, ako vďaku bezpečnostným výskumným pracovníkom, ktorí sa rozhodli zúčastniť sa nášho programu bug bounty. Pravidelná odmena je 100 USD za zraniteľnosť odoslanú a overenú našim vývojovým tímom.
Odmenu poskytneme iba prvému hlásiteľovi zraniteľnosti. Duplicitné správy nebudú odmenené.
Rozsah
Môžete testovať iba proti Účtu LiveAgent, ktorého ste Vlastníkom Účtu alebo Agentom autorizovaným Vlastníkom Účtu na vykonávanie takéhoto testovania. Napríklad:
- vašadomena.ladesk.com
Odmenené Typy Zraniteľností
Odmeníme vás za nasledujúce typy zraniteľností:
- Vzdialené Vykonávanie Príkazov (RCE)
- SQL Injection
- Zlomené Overenie
- Zlomená Správa Relácií
- Obídenie Kontroly Prístupu
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Otvorené Presmerovanie URL
- Prechádzanie Adresárov
Poznámka: Správy o tom, keď útočník môže ohroziť iba svoj vlastný účet s rolou Admin, nebudú odmenené odmenom. XSS spôsobené Administrátorom nebudú odmenené odmenom.
Aby sa zraniteľnosť kvalifikovala, musí existovať v najnovšom verejnom vydaní (vrátane oficiálne vydaných verejných betaverzií) softvéru. Budú sa kvalifikovať iba bezpečnostné zraniteľnosti. Bolo by nám milé, keby ľudia nahlasovali ďalšie chyby prostredníctvom príslušných kanálov, ale keďže účelom tohto programu je opravovať bezpečnostné zraniteľnosti, budú sa kvalifikovať iba chyby, ktoré vedú k bezpečnostným zraniteľnostiam. Ďalšie chyby budú akceptované podľa nášho uváženia.
Pokyny
Prosím, dodržiavajte nasledujúce pokyny, aby ste boli oprávnení na odmeny v rámci tohto programu zverejňovania:
- Nemodifikujte ani neodstraňujte trvalo údaje hostované na LiveAgent.
- Neprístupujte úmyselne neverejným údajom LiveAgent viac, ako je potrebné na demonštráciu zraniteľnosti.
- Nerobte DDoS ani inak nenarúšajte, neprerušujte ani neznižujte našu internú alebo externú službu.
- Nezdieľajte dôverné informácie získané od LiveAgent, vrátane, ale nie len informácií o platbách členov alebo darcov, s treťou stranou.
- Sociálne inžinierstvo je mimo rozsahu. Neposielajte phishingové e-maily ani nepoužívajte iné techniky sociálneho inžinierstva proti komukoľvek, vrátane zamestnancov QualityUnit, členov, dodávateľov alebo partnerov.
Okrem toho nám prosím umožnite aspoň 90 dní na opravu zraniteľnosti pred jej verejným diskutovaním alebo písaním o nej. Náš tím verí, že bezpečnostní výskumní pracovníci majú právo nahlasovať svoj výskum a že zverejnenie je veľmi prospešné, a chápe, že ide o veľmi subjektívnu otázku, kedy a ako zadržať podrobnosti, aby sa minimalizovalo riziko, že informácie o zraniteľnostiach budú zneužité. Ak si myslíte, že je potrebné skoršie zverejnenie, prosím, dajte nám vedieť, aby sme mohli začať rozhovor.
Záznam Zmien
Verejne informujeme o všetkých opravených bezpečnostných problémoch prostredníctvom nášho záznamu zmien . Problémy súvisiace s bezpečnosťou sú označené značkou [Security].
