Haavoittavuuden paljastamisohjelma
LiveAgent pyrkii pitämään palvelunsa turvallisena kaikille, ja tietoturva on äärimmäisen tärkeää. Haavoittavuuden paljastamisohjelmamme on tarkoitettu minimoimaan mahdolliset tietoturva-aukot työkaluissamme tai niiden käyttäjille. LiveAgentin haavoittavuuden paljastamisohjelma kattaa ohjelmistot, jotka Quality Unit on kirjoittanut osittain tai pääosin.
Jos olet tietoturvatutkija ja olet löytänyt tietoturva-aukon palvelussa, arvostamme apuasi sen yksityiseen paljastamiseen ja mahdollisuuden antamiseen korjata se ennen teknisten yksityiskohtien julkaisemista.
LiveAgent tekee yhteistyötä tietoturvatutkijoiden kanssa, kun haavoittavuuksista ilmoitetaan meille tässä kuvatulla tavalla. Vahvistamme, vastaamme ja korjaamme haavoittavuudet tukemaan sitoutumistamme tietoturvaan ja yksityisyyteen. Emme ryhdy oikeustoimiin, keskeytä tai lopeta palvelun käyttöä niille, jotka löytävät ja ilmoittavat tietoturva-aukoista vastuullisesti. LiveAgent pidättää kaikki oikeutensa noudattamatta jättämisen tapauksessa.
Ilmoittaminen
Jaa tiedot epäillyistä haavoittavuuksista LiveAgentin kehitystiimille osoitteeseen support@liveagent.com . Älä paljasta näitä tietoja julkisesti tämän prosessin ulkopuolella ilman nimenomaista lupaa.
Ilmoittaessasi epäillyistä haavoittavuuksista, sisällytä mahdollisimman paljon tietoja. Jos haluat lähettää useita raportteja kerralla, lähetä vain yksi raportti (tärkein, jos mahdollista) ja odota vastausta.
Korvaus
Olemme iloisia voidessamme tarjota palkkion haavoittavuustiedoista, joka auttaa meitä suojelemaan asiakkaitamme kiitoksena tietoturvatutkijoille, jotka päättävät osallistua virhepalkkio-ohjelmaamme. Säännöllinen palkkio on 100 dollaria per haavoittavuus, jonka kehitystiimimme on vahvistanut.
Palkkioimme vain ensimmäisen haavoittavuuden ilmoittajan. Kaksoisraportteja ei palkkioida.
Soveltamisala
Voit testata vain LiveAgent-tiliä, jonka omistaja olet sinä tai agentti, jonka tilin omistaja on valtuuttanut tällaiseen testaukseen. Esimerkiksi:
- yourdomain.ladesk.com
Palkkioitavat haavoittavuustyypit
Palkkioimme seuraavat haavoittavuustyypit:
- Etäkäskyn suoritus (RCE)
- SQL-injektio
- Rikkoutunut todennus
- Rikkoutunut istunnon hallinta
- Pääsynvalvonnan ohitus
- Sivustojen välinen skriptaus (XSS)
- Sivustojen välinen pyyntöjen väärentäminen (CSRF)
- Avoin URL-uudelleenohjaus
- Hakemiston läpikäynti
Huomautus: Raportit siitä, että hyökkääjä voi uhata vain omaa tiliään järjestelmänvalvojan roolilla, eivät ole oikeutettuja palkkioon. Järjestelmänvalvojan aiheuttama XSS ei ole oikeutettu palkkioon.
Jotta se olisi kelvollinen, haavoittavuuden on oltava olemassa ohjelmiston uusimmassa julkisessa versiossa (mukaan lukien virallisesti julkaistut julkiset betat). Vain tietoturva-aukot ovat kelpoisia. Olisimme iloisia, jos ihmiset ilmoittaisivat muista virheistä asianmukaisilla kanavilla, mutta koska tämän ohjelman tarkoitus on korjata tietoturva-aukot, vain virheet, jotka johtavat tietoturva-aukkoihin, ovat oikeutettuja palkkioihin. Muut virheet hyväksytään harkintamme mukaan.
Ohjeet
Noudata seuraavia ohjeita ollaksesi oikeutettu palkkioihin tämän paljastumisohjelman mukaisesti:
- Älä pysyvästi muokkaa tai poista LiveAgentin isännöimää tietoa.
- Älä tahallisesti käytä ei-julkista LiveAgent-tietoa enemmän kuin on tarpeen haavoittavuuden osoittamiseksi.
- Älä suorita DDoS-hyökkäyksiä tai muulla tavalla häiritse, keskeytä tai heikennä sisäisiä tai ulkoisia palveluitamme.
- Älä jaa LiveAgentilta saatuja luottamuksellisia tietoja, mukaan lukien jäsenten tai lahjoittajien maksutiedot, kolmansille osapuolille.
- Sosiaalinen manipulointi ei kuulu soveltamisalaan. Älä lähetä phishing-sähköposteja tai käytä muita sosiaalisen manipuloinnin tekniikoita ketään vastaan, mukaan lukien QualityUnit-henkilöstö, jäsenet, toimittajat tai kumppanit.
Lisäksi anna meille vähintään 90 päivää haavoittavuuden korjaamiseen ennen kuin keskustelet siitä julkisesti tai kirjoitat siitä blogissa. Tiimimme uskoo, että tietoturvatutkijoilla on oikeus raportoida tutkimuksestaan ja että paljastaminen on erittäin hyödyllistä, ja ymmärtää, että se on erittäin subjektiivinen kysymys siitä, milloin ja miten pidättää tietoja haavoittavuustietojen väärinkäytön riskin pienentämiseksi. Jos uskot, että aikaisempi paljastaminen on tarpeen, kerro meille, jotta voimme aloittaa keskustelun.
Muutosloki
Ilmoitamme julkisesti kaikista korjatuista tietoturva-ongelmista muutoslokin kautta. Tietoturvaan liittyvät ongelmat on merkitty [Security]-tunnisteella.
