Δεσμευόμαστε να κάνουμε το Snipp όσο το δυνατόν καλύτερο, και αυτό σημαίνει γρήγορη αντιμετώπιση σφαλμάτων. Αν έχετε εντοπίσει ζήτημα ή ανακαλύψατε κάτι που δεν λειτουργεί σωστά, θέλουμε να το γνωρίζουμε! Εκτιμούμε κάθε συνεισφορά—καλή επιτυχία!
Δεν θα ασκήσουμε ποτέ νομικές ενέργειες εναντίον κανενός που αναφέρει τρωτά σημεία καλόπιστα και ακολουθεί τις οδηγίες σε αυτή τη σελίδα.
Στοχεύουμε να επιβεβαιώνουμε κάθε αναφορά εντός 48 ωρών και θα σας κρατάμε ενημερωμένους καθ' όλη τη διάρκεια της διαδικασίας επίλυσης.
Ανάλογα με τη σοβαρότητα και τον αντίκτυπο της ανακάλυψής σας, ενδέχεται να δικαιούστε αποκλειστικό badge προφίλ και δωρεάν μήνες συνδρομής PLUS.
Οι ερευνητές που συμβάλλουν ουσιαστικά στην ασφάλεια του Snipp μπορούν να κερδίσουν badges προφίλ που εμφανίζονται δημοσίως στον λογαριασμό τους.
Απονέμεται μετά από 3-5 εξαιρετικές αναφορές σφαλμάτων. Αποδεικνύει συνεπή συνεισφορά στην εμπειρία χρήστη και ασφάλεια του Snipp.
Απονέμεται για ανακάλυψη τρωτών σημείων ή υποβολή κρίσιμων αναφορών. Προορίζεται για ενεργούς ερευνητές που αποκαλύπτουν τα πιο επηρεαστικά ζητήματα.
Όλες οι δοκιμές πρέπει να διεξάγονται στους δικούς σας λογαριασμούς. Μην αλληλεπιδράτε με ή επηρεάζετε δεδομένα ή λογαριασμούς άλλων χρηστών.
Μόνο υπηρεσίες που λειτουργεί το Snipp εμπίπτουν στο πεδίο εφαρμογής. Αναφορές που στοχεύουν πλατφόρμες τρίτων, ακόμα και εκείνες που ενσωματώνονται μέσω του API μας, δεν θα γίνονται δεκτές.
Αποφύγετε οποιαδήποτε δραστηριότητα που θα μπορούσε να υποβαθμίσει τις υπηρεσίες μας ή να θέσει σε κίνδυνο την ακεραιότητα δεδομένων—αυτό περιλαμβάνει brute forcing, DoS, spam και επιθέσεις βασισμένες σε χρόνο.
Δεν επιτρέπονται αυτοματοποιημένα εργαλεία σάρωσης. Όλες οι δοκιμές πρέπει να γίνονται χειροκίνητα.
Ενδέχεται προσωρινά να αποκλείσουμε ορισμένες κατηγορίες τρωτών σημείων από το πεδίο εφαρμογής ενώ τα αντιμετωπίζουμε εσωτερικά. Τυχόν αλλαγές θα αντικατοπτρίζονται σε αυτή τη σελίδα.
Παρακαλούμε κρατήστε όλες τις ανακαλύψεις εμπιστευτικές μέχρι να τις έχουμε πλήρως διερευνήσει και επιλύσει.
Η υπεύθυνη αποκάλυψη είναι ο καλύτερος τρόπος να μας βοηθήσετε να διορθώσουμε ζητήματα γρήγορα ελαχιστοποιώντας τον κίνδυνο. Όταν αναφέρετε απευθείας σε εμάς, μπορούμε να αρχίσουμε αμέσως να εργαζόμαστε για μια διόρθωση χωρίς να εκθέτουμε το τρωτό σημείο σε κακόβουλους.
Ανακαλύψεις που κοινοποιούνται δημοσίως πριν έχουμε την ευκαιρία να τις αντιμετωπίσουμε—είτε στα κοινωνικά δίκτυα, σε φόρουμ ή οπουδήποτε αλλού—δεν θα πληρούν τις προϋποθέσεις για αναγνώριση badge. Θέλουμε να τιμάμε τους ανθρώπους που μας δίνουν την ευκαιρία να διορθώσουμε τα πράγματα πρώτα.
Αν πολλά άτομα αναφέρουν το ίδιο ζήτημα, θα αξιολογήσουμε τις υποβολές βάσει:
Σαφήνεια της τεχνικής εξήγησης
Πόσο καλά η αναφορά αποδίδει τον πραγματικό αντίκτυπο
Χρονική σφραγίδα υποβολής
Μια αναφορά πρέπει να αποδεικνύει πραγματικό αντίκτυπο. Μια βαθμολογία CVSS από μόνη της, χωρίς ένα λειτουργικό proof of concept που να δείχνει τι αποκομίζει πραγματικά ένας επιτιθέμενος, αντιμετωπίζεται ως ενημερωτική και δεν είναι επιλέξιμη για ανταμοιβή.
Εκτιμούμε πραγματικά κάθε ερευνητή που αφιερώνει χρόνο για να κάνει το Snipp πιο ασφαλές.
Ορισμένα δεδομένα είναι δημόσια σκόπιμα. Πληροφορίες που εμφανίζονται ήδη σε δημόσιες σελίδες δεν είναι εμπιστευτικές, και η ανάγνωσή τους, είτε μέσω του ιστότοπου, ενός τελικού σημείου API, είτε ενώ είστε αποσυνδεδεμένοι, δεν αποτελεί ευπάθεια. Πριν αναφέρετε μια έκθεση δεδομένων, ελέγξτε εάν τα ίδια δεδομένα εμφανίζονται ήδη δημόσια. Τα ακόλουθα είναι δημόσια εκ σχεδιασμού:
Πληροφορίες προφίλ που εμφανίζονται στη δημόσια σελίδα ενός χρήστη: όνομα χρήστη, εμφανιζόμενο όνομα, avatar, banner, βιογραφικό, συνδεδεμένα κοινωνικά δίκτυα, ημερομηνία εγγραφής, καθώς και πλήθος ακολούθων και ακολουθούμενων.
Διακριτικά προφίλ και η κατάσταση πίσω από αυτά, συμπεριλαμβανομένων του προσωπικού, του συνεργάτη, του κυνηγού σφαλμάτων, του μεταφραστή, του επαληθευμένου και του υποστηρικτή. Αυτά εμφανίζονται δημόσια ως διακριτικά.
Πληροφορίες δημοσίευσης σε μια δημόσια ή μη καταχωρημένη δημοσίευση: τίτλος, περιγραφή, πολυμέσα, πλήθος προβολών και ημερομηνία μεταφόρτωσης.
Σημαίες σχετικές με τον θεατή που αντικατοπτρίζουν μόνο τη δική σας συνεδρία, όπως το εάν ένα προφίλ είναι το δικό σας, εάν ακολουθείτε έναν χρήστη ή εάν υπάρχει αποκλεισμός μεταξύ εσάς και αυτού. Αυτές περιγράφουν τη σχέση σας με τα δεδομένα, όχι τις προσωπικές πληροφορίες κάποιου άλλου.
Πριν υποβάλετε, σκεφτείτε αν το ζήτημα έχει ρεαλιστικό σενάριο επίθεσης και σημαντικό αντίκτυπο ασφαλείας. Τα ακόλουθα εξαιρούνται γενικά:
Αποκάλυψη δεδομένων που είναι ήδη δημόσια εκ σχεδιασμού (δείτε την παραπάνω ενότητα), συμπεριλαμβανομένων των πεδίων προφίλ, των διακριτικών, των μεταδεδομένων δημοσιεύσεων και των σημαιών που σχετίζονται με τον θεατή
Αναφορές που βασίζονται αποκλειστικά σε επικύρωση από την πλευρά του πελάτη. Οι έλεγχοι ασφαλείας επιβάλλονται στον διακομιστή, επομένως ένας ελλείπων έλεγχος από την πλευρά του πελάτη δεν αποτελεί ευπάθεια όταν ο διακομιστής απορρίπτει την ίδια είσοδο
Χειρισμός τύπου αρχείου, MIME ή επέκτασης στις μεταφορτώσεις. Τα μεταφορτωμένα αρχεία επικυρώνονται βάσει του πραγματικού περιεχομένου τους στον διακομιστή, και ο αποθηκευμένος τύπος δεν λαμβάνεται ποτέ από τον πελάτη
Αποκάλυψη μιας διεύθυνσης IP προέλευσης, ενός παρόχου υποδομής ή ενός υποτομέα χωρίς proxy. Ορισμένες υπηρεσίες, όπως τα τελικά σημεία μεταφόρτωσης, εξυπηρετούνται σκόπιμα εκτός του CDN και είναι θωρακισμένες στην προέλευση
Παρωχημένες ή ιστορικές εγγραφές DNS που δεν δείχνουν πλέον σε ενεργή υποδομή
Ελλείπουσες ή λανθασμένα διαμορφωμένες κεφαλίδες ασφαλείας, όπως CSP, HSTS ή X-Frame-Options, χωρίς αποδεδειγμένο λειτουργικό exploit
Αναλυτικά μηνύματα σφάλματος, ίχνη στοίβας ή αποκάλυψη έκδοσης λογισμικού χωρίς αποδεδειγμένο λειτουργικό exploit
Απαρίθμηση έγκυρων πόρων βάσει αναγνωριστικού, ή αποκρίσεις 4xx και 5xx σε μη έγκυρα αναγνωριστικά. Η επιστροφή κατάστασης «δεν βρέθηκε» σε ένα μη έγκυρο αίτημα είναι αναμενόμενη συμπεριφορά
Απαρίθμηση λογαριασμών
Επιθέσεις που απαιτούν MITM ή φυσική πρόσβαση στη συσκευή χρήστη
Υποκλοπή Κλικ
Πλαστογράφηση περιεχομένου και έγχυση κειμένου
Τρωτά σημεία CSRF
Εγγραφές SPF, DKIM και DMARC email
Ελλείπουσες σημαίες cookie HttpOnly/Secure
Ανοιχτές κεφαλίδες CORS
Περιορισμός ρυθμού
Αναφορές από σαρωτές και αυτοματοποιημένα εργαλεία
Αυτο-εκμετάλλευση (όπως επαναχρησιμοποίηση διακριτικών και scripting κονσόλας)
Επιθέσεις κοινωνικής μηχανικής ή phishing που στοχεύουν χρήστες ή προσωπικό
Εξωτερικές υπηρεσίες, εταίροι και ενσωματώσεις εκτός πεδίου αυτού του προγράμματος. Μόνο τρωτά σημεία σε λειτουργίες και API που ανήκουν στο Snipp πληρούν τις προϋποθέσεις. Οι αναφορές πρέπει να δείχνουν σαφή αντίκτυπο ασφαλείας στο ίδιο το Snipp.
Οποιοδήποτε σενάριο όπου ένας εισβολέας θα μπορούσε να αποκτήσει κλειδιά API, διακριτικά συνεδρίας ή διαπιστευτήρια άλλου χρήστη χωρίς να βασίζεται σε κοινωνική μηχανική θεωρείται εντός πεδίου.
Αναπαράξιμα σφάλματα ιστοσελίδας που προκαλούνται από επεξεργασμένη εισαγωγή ή κανονική αλληλεπίδραση χρήστη θεωρούνται εντός πεδίου, υπό την προϋπόθεση ότι δεν εξαρτώνται από εξάντληση πόρων, spam ή άλλες τεχνικές άρνησης υπηρεσίας.
Αναφορές που εξαρτώνται από εκμετάλλευση συνθήκης αγώνα χρειάζονται πρόσθετες αποδείξεις για να γίνουν αποδεκτές. Παρακαλούμε συμπεριλάβετε τουλάχιστον ένα από τα ακόλουθα:
Αναπαράξιμο script (Python ή JavaScript προτιμάται, αν και άλλες γλώσσες είναι αποδεκτές)
Λεπτομερής ανάλυση που καλύπτει τις μεθόδους HTTP, τα endpoints και την ακριβή σειρά αιτημάτων που απαιτείται για να ενεργοποιηθεί η συνθήκη
Η συμπερίληψη script διευκολύνει πολύ την επαλήθευση του ζητήματος και επιταχύνει τη διαδικασία αξιολόγησης.
Στείλτε μας email με σαφή περιγραφή του ζητήματος, βήματα αναπαραγωγής και τυχόν υποστηρικτικές αποδείξεις. Θα επικοινωνήσουμε μαζί σας το συντομότερο δυνατό.