Ievainojumu Atklāšanas Programma
LiveAgent cenšas nodrošināt savu pakalpojumu drošību visiem, un datu drošība ir ārkārtīgi svarīga. Mūsu Ievainojumu Atklāšanas Programma ir paredzēta, lai samazinātu jebkādu drošības trūkumu ietekmi uz mūsu rīkiem vai to lietotājiem. LiveAgent Ievainojumu Atklāšanas Programma aptver programmatūru, kuru daļēji vai galvenokārt ir uzrakstījusi Quality Unit.
Ja esat drošības pētnieks un esat atklājis drošības ievainojumu Pakalpojumā, mēs novērtējam jūsu palīdzību, informējot mūs par to privāti un dod mums iespēju to labot pirms tehnisko detaļu publicēšanas.
LiveAgent sadarbojas ar drošības pētniekiem, kad ievainojumi tiek mums ziņoti, kā aprakstīts šeit. Mēs validēsim, atbildēsim un labosim ievainojumus, atbalstot mūsu apņemšanos drošībai un privātumam. Mēs neveiks juridiskas darbības pret tiem, kuri atbildīgi atklāj un ziņo par drošības ievainojumiem, un neapturēsim vai nepārtrauks viņu piekļuvi Pakalpojumam. LiveAgent patur visas savas juridiskās tiesības gadījumā, ja netiek ievērots noteiktais.
Ziņošana
Kopīgojiet jebkādu aizdomīgu ievainojumu detaļas ar LiveAgent Izstrādes Komandu vietnē support@liveagent.com . Lūdzu, nepublicējiet šīs detaļas ārpus šī procesa bez skaidras atļaujas.
Ziņojot par jebkādiem aizdomīgiem ievainojumiem, lūdzu iekļaujiet pēc iespējas vairāk informācijas. Ja vēlaties iesniegt vairākus ziņojumus vienlaikus, lūdzu iesniedziet tikai vienu ziņojumu (svarīgāko, ja iespējams) un gaidiet atbildi.
Atlīdzība
Mēs ar prieku piedāvājam atlīdzību par ievainojumu informāciju, kas mums palīdz aizsargāt mūsu klientus, kā pateicību drošības pētniekiem, kuri izvēlas piedalīties mūsu kļūdu atklāšanas programmā. Parastā atlīdzības summa ir 100 USD par ievainojumu, ko apstiprināja mūsu izstrādes komanda.
Atlīdzību saņems tikai pirmais ievainojuma ziņotājs. Dubultie ziņojumi netiks atlīdzināti.
Darbības Joma
Jūs varat testēt tikai LiveAgent Kontu, kura īpašnieks esat jūs vai aģents, kuram Konta īpašnieks ir devis pilnvaras šādu testēšanu veikt. Piemēram:
- yourdomain.ladesk.com
Atlīdzināti Ievainojumu Veidi
Mēs jums atlīdzināsim par šādiem ievainojumu veidiem:
- Attālas Komandas Izpilde (RCE)
- SQL Injekcija
- Salauzta Autentifikācija
- Salauzta Sesijas Pārvaldība
- Piekļuves Kontroles Apejošana
- Starpvietu Skriptēšana (XSS)
- Starpvietu Pieprasījuma Viltošana (CSRF)
- Atvērta URL Novirzīšana
- Direktoriju Šķērsošana
Piezīme: Ziņojumi par gadījumiem, kad uzbrucējs var apdraudēt tikai savu kontu ar Administratora lomu, netiks atlīdzināti. XSS, ko izraisījis Administrators, netiks atlīdzināts.
Lai kvalificētos, ievainojumam jāpastāv jaunākajā publiskajā laidienā (ieskaitant oficiāli izlaistās publiskās beta versijas) programmatūrai. Tikai drošības ievainojumi kvalificēsies. Mums patiktu, ja citi kļūdas tiktu ziņotas caur atbilstošiem kanāliem, bet, tā kā šīs programmas mērķis ir labot drošības ievainojumus, tikai kļūdas, kas noved pie drošības ievainojumiem, būs piemērotas atlīdzībai. Citas kļūdas tiks pieņemtas pēc mūsu ieskatiem.
Vadlīnijas
Lūdzu ievērojiet šādas vadlīnijas, lai būtu piemērots atlīdzībai saskaņā ar šo atklāšanas programmu:
- Nepermanenti nemodificējiet vai nedzēsiet LiveAgent mitinātos datus.
- Neapzināti nepiekļūstiet ne-publiskiem LiveAgent datiem vairāk, nekā nepieciešams, lai demonstrētu ievainojumu.
- Neveiciet DDoS vai citus traucējumus, pārtraukumus vai degradāciju mūsu iekšējiem vai ārējiem pakalpojumiem.
- Nedalieties ar konfidenciālu informāciju, kas iegūta no LiveAgent, ieskaitant, bet ne tikai, dalībnieku vai donoru maksājuma informāciju, ar jebkuru trešo pusi.
- Sociālā inženierija ir ārpus darbības jomas. Nesūtiet phishing e-pastus un neizmantojiet citas sociālās inženierijas metodes pret jebkuru personu, ieskaitant QualityUnit personālu, dalībniekus, piegādātājus vai partnerus.
Turklāt, lūdzu, dodiet mums vismaz 90 dienas, lai labotos ievainojumu, pirms publiski par to diskutējat vai rakstāt blogā. Mūsu komanda uzskata, ka drošības pētniekiem ir tiesības ziņot par savu pētniecību un ka atklāšana ir ļoti noderīga, un saprot, ka tas ir ļoti subjektīvs jautājums par to, kad un kā aizturēt detaļas, lai mazinātu risku, ka ievainojuma informācija tiks ļaunprātīgi izmantota. Ja uzskatāt, ka agrāka atklāšana ir nepieciešama, lūdzu, informējiet mūs, lai mēs varētu sākt sarunas.
Izmaiņu Žurnāls
Mēs publiski informējam par visiem labotajiem drošības jautājumiem caur mūsu izmaiņu žurnālu . Ar drošību saistīti jautājumi ir atzīmēti ar tagu [Security].
