GamsGo SAUGA
GamsGo klaidų premijos programa
„GamsGo Bug Bounty“ programa skirta išorės saugumo tyrinėtojams, norintiems padėti apsaugoti „GamsGo“ produktus ir vartotojus.
Radote pažeidžiamumą, turintį tikrą poveikį saugumui? Pateikite ataskaitą pagal programos apimtį ir testavimo taisykles.
testas atsakingai. Neprieikite, nekeiskite, neatsisiųskite ir nesaugokite kieno nors kito duomenų, išskyrus tai, kas yra būtina pažeidžiamumui įrodyti.
01Vartotojas ir paskyros
Prisijungimo, autentifikavimo ir prieigos valdikliai
02Duomenys ir privatumas
Asmeninė informacija, kredencialai ir prieigos žetonai
03Mokėjimai ir operacijos
Užsakymai, mokėjimai ir lėšų saugumas
04Pagrindinės paslaugos
Platformos funkcijos ir paslaugų stabilumas
Standartiniai apdovanojimai
US$50–US$5,000
Nėra fiksuoto kritinių pažeidžiamumų dangtelio
Kaip tai veikia
Programa atidaryta- 01
Tyrimas
Perskaitykite programos taikymo sritį ir testavimo taisykles ir išbandykite tik naudodami jums priklausančias paskyras arba turite teisę naudoti.
- 02
Ataskaita
Pateikite aiškų, išsamų ir atkuriamą problemos aprašymą su įrodymais naudodami saugumo ataskaitos formą.
- 03
Peržiūra ir atlygis
Mūsų saugos komanda patvirtina problemą ir įvertina atlygį pagal poveikį, išnaudojamumą, originalumą ir ataskaitos kokybę.
Programos apimtis
Prieš pateikdami
Naudokite šiuos kriterijus, kad greitai įvertintumėte, ar jūsų išvada suteikia reikšmingos saugumo vertės.
kam teikiame pirmenybę
Ataskaitos labiau linkusios gauti atlygį, kai jos apima:
- Anksčiau nežinomas saugos pažeidžiamumas programos srityje
- patikimai atkuriama problema su aiškiu atakos keliu
- Neteisėta prieiga prie kito vartotojo duomenų, jų pakeitimo arba ištrynimo
- Prisijungimo, patvirtinimo ar autorizacijos valdiklių apėjimas arba paskyros perėmimas
- Slaptažodžių, žetonų, mokėjimo informacijos ar kitų neskelbtinų duomenų parodymas
- Demonstruojamas scenarijaus vykdymas, serverio kodo vykdymas arba aiški finansinė rizika
paprastai negali gauti atlygio
Naudingą atsiliepimą apie saugumą vis tiek galima pateikti atitinkamu palaikymo kanalu:
- žinomos problemos arba ankstesnės ataskaitos dublikatai
- Sistemos, domenai arba trečiųjų šalių ištekliai, nepriklausantys programos taikymo sričiai
- skaitytuvo išvestis arba teorija be atkuriamo rezultato
- Missing recommended settings with no proven security impact
- Puslapio arba el. pašto stiliaus ir formulavimo problemos, neturinčios jokios realios įtakos
- užsakymai, pinigų grąžinimas, mokėjimai ar palaikymo užklausos, kurios nėra saugumo problemos
Kaip veikia apdovanojimai
Atlygio įvertinimas
Atlygio sumos įvertinamos pagal šiuos keturis kriterijus.
Standartiniai apdovanojimaiUS$50–US$5,000
Kritinės klaidos · Nėra fiksuoto dangtelio
Tikras poveikis
Kurie vartotojai, paskyros, duomenys, mokėjimai ar pagrindinės paslaugos gali būti paveiktos, ir galimas nuostolių mastas.
Eksploatavimas
ar jis patikimai atkuria, kokios sąlygos reikalingos ir kokia sudėtinga yra ataka ar vartotojo sąveika.
Originalumas
Ar problema anksčiau buvo nežinoma, yra dublikatas, ar jau taisoma.
Ataskaitos kokybė
Ar žingsniai, įrodymai, aplinkos ir poveikio analizė yra pakankamai aiškūs, kad būtų galima greitai patvirtinti ir ištaisyti.
Pažeidžiamumo pavadinimai, skaitytuvų įvertinimai arba bendrieji rizikos lygiai nenulemia atlygio; Patvirtintas tikrasis verslo poveikis daro.
Ataskaitų teikimo reikalavimai
Pateikite efektyvią ataskaitą
Aiški, išsami ataskaita padeda mums greitai patvirtinti problemą, įvertinti jos poveikį ir suplanuoti pataisymą. Įtraukite šiuos šešis elementus.
Pateikite naudodami GamsGo saugos ataskaitos formąPažeista sritis
Produktas, domenas, URL, galutinis taškas, paskyros srautas arba funkcijos vieta.
Pažeidžiamumo santrauka
Pažeidžiamumo tipas, kas atsitiks, ir jo sukuriama saugumo rizika.
Bandymo aplinka ir veiksmai
Įrenginys, naršyklė, paskyra, išankstinės sąlygos, atlikti veiksmai ir tikrasis rezultatas.
Patvirtinantys įrodymai
Redaguotos ekrano kopijos, įrašai, užklausos, atsakymai, žurnalai arba saugus koncepcijos įrodymas.
Tikras poveikis
Ką gali padaryti užpuolikas, kas yra paveiktas ir kokios sąlygos reikalingos.
Kontaktiniai duomenys
Jūsų vardas ir aktyvus el. laiškas, kuriame rasite atsiliepimų ir tolesnių klausimų.
Atsakingas tyrimas
Saugumo testavimo taisyklės
Norėdami apsaugoti vartotojus ir platformą, laikykitės šių taisyklių:
- Naudokite tik savo arba įgaliotas paskyras
- Neprieikite prie daugiau duomenų, nei reikia, kad įrodytumėte problemą
- Stop testing immediately once you reach sensitive data
- Jokio atsisakymo teikti paslaugas, testų nepalankiausiomis sąlygomis, didelio masto nuskaitymo ar brutalios jėgos
- Jokios socialinės inžinerijos, sukčiavimo, šlamšto ar apgaulės
- Netrikdykite paslaugų, nepaveikkite vartotojų ir nesukelkite realių finansinių nuostolių
- Užmaskuokite visus slaptažodžius, slapukus ir žetonus ekrano kopijose, užklausose ar žurnaluose, pasilikdami tik tai, kas įrodo problemą
- Neatskleiskite detalių viešai prieš pataisydami ar sutartą atskleidimą
Jei nesate tikri, ar testas yra saugus, ar atitinka programos apimtį, nustokite testuoti ir susisiekite su mumis naudodami saugos ataskaitos formą.
Dažni klausimai
Dažnai užduodami klausimai
Ne. Atlygis bus svarstomos tik programos, kurios yra programos srityje, anksčiau nežinomos, atkuriamos ir akivaizdžiai paveikios. Mažo poveikio problemos, pasikartojančios ataskaitos ir išvados, kurių negalime patvirtinti, paprastai nėra tinkamos.
Paprastai įvertiname pirmąją išsamią ataskaitą, kuri leidžia mūsų komandai atkurti problemą ir patvirtinti jos pagrindinę priežastį. Vien ankstesnė laiko žyma negarantuoja prioriteto, jei ataskaitoje nėra pakankamai informacijos.
Taip. Jei galite įrodyti, kad išnaudojamas kelias išlieka po pataisymo arba kad naujoji problema turi skirtingą pagrindinę priežastį ir poveikį, pateikite ją kaip naują ataskaitą ir paaiškinkite, kaip ji susijusi su pradine problema.
Praneškite apie pažeidžiamumą privačiai per nurodytą kanalą ir skirkite pakankamai laiko tyrimui ir ištaisymui. Neatskleiskite detalių viešai, kol klausimas nebuvo išspręstas arba abi šalys susitarė dėl atskleidimo susitarimo.
Kai ataskaita bus patvirtinta kaip tinkama ir bus baigtos būtinos ištaisymo ar rizikos kontrolės priemonės, naudosime jūsų pateiktą kontaktinę informaciją, kad patvirtintume atlygio ir mokėjimo informaciją. Dėl sudėtingų problemų gali prireikti papildomo laiko patvirtinimui ir ištaisymui.
Tegul klaidų medžioklė prasideda!
Pateikite pažeidžiamumą su realia saugumo verte ir padėkite mums sustiprinti GamsGo produktų ir vartotojų saugumą.
Pateikite pažeidžiamumo ataskaitą