Zabezpečenie GamsGo
GamsGo bug bounty program
Program GamsGo Bug Bounty je určený pre externých výskumníkov bezpečnosti, ktorí chcú pomôcť chrániť produkty a používateľov GamsGo.
Našli ste zraniteľnosť so skutočným dopadom na bezpečnosť? Odošlite správu v súlade s rozsahom programu a pravidlami testovania.
testovať zodpovedne. Nepristupujte, neupravujte, nesťahujte ani neuchovávajte údaje kohokoľvek iného nad rámec toho, čo je nevyhnutne potrebné na preukázanie zraniteľnosti.
01Používateľ a účty
Prihlásenie, overenie a ovládanie prístupu
02Údaje a súkromie
Osobné údaje, poverenia a prístupové tokeny
03Platby a transakcie
Objednávky, platby a zabezpečenie finančných prostriedkov
04Základné služby
Funkcie platformy a stabilita služieb
Štandardné odmeny
US$50–US$5,000
Žiadny pevný limit pre kritické zraniteľnosti
Ako to funguje
program otvorený- 01
skúmať
Prečítajte si rozsah programu a pravidlá testovania a testujte iba s účtami, ktoré vlastníte alebo ste oprávnení používať.
- 02
hlásenie
Predložte jasný, úplný a reprodukovateľný popis problému s dôkazmi prostredníctvom formulára bezpečnostnej správy.
- 03
Recenzia a odmena
Náš bezpečnostný tím potvrdzuje problém a hodnotí odmenu na základe vplyvu, využiteľnosti, originality a kvality správy.
Rozsah programu
Pred odoslaním
Pomocou nasledujúcich kritérií rýchlo posúďte, či vaše zistenie poskytuje zmysluplnú bezpečnostnú hodnotu.
Čo uprednostňujeme
Správy sa s väčšou pravdepodobnosťou kvalifikujú na odmenu, keď zahŕňajú:
- predtým neznáma bezpečnostná chyba zabezpečenia v rámci programu
- Spoľahlivo reprodukovateľný problém s jasnou cestou útoku
- neoprávnený prístup, úprava alebo vymazanie údajov iného používateľa
- obídenie kontrol prihlásenia, overenia alebo autorizácie alebo prevzatie účtu
- vystavenie hesiel, tokenov, platobných informácií alebo iných citlivých údajov
- Preukázateľné spustenie skriptu, spustenie kódu na strane servera alebo jasné finančné riziko
zvyčajne nemá nárok na odmenu
Užitočnú spätnú väzbu zabezpečujúcu je stále možné odoslať prostredníctvom príslušného podporného kanála:
- známe problémy alebo duplikáty predchádzajúcej správy
- systémy, domény alebo aktíva tretích strán mimo rozsahu programu
- Výstup alebo teória skenera bez reprodukovateľného výsledku
- Chýbajú odporúčané nastavenia bez preukázaného vplyvu na zabezpečenie
- Problémy so štýlom stránky alebo e-mailom a znením bez skutočného vplyvu
- Objednávky, refundácie, platby alebo žiadosti o podporu, ktoré nie sú problémami so zabezpečením
Ako fungujú odmeny
Reward assessment
Sumy odmien sa posudzujú podľa nasledujúcich štyroch kritérií.
Štandardné odmenyUS$50–US$5,000
Kritické chyby · Bez pevného uzáveru
Skutočný vplyv
Ktorí používatelia, účty, údaje, platby alebo základné služby by mohli byť ovplyvnené a potenciálny rozsah straty.
využiteľnosť
Či sa spoľahlivo reprodukuje, aké podmienky sú potrebné a aká zložitá je interakcia útoku alebo používateľa.
originalita
Či bol problém predtým neznámy, je duplikát alebo sa už rieši.
Nahlásiť kvalitu
Či kroky, dôkazy, prostredie a analýza vplyvu sú dostatočne jasné na rýchle overenie a nápravu.
Názvy zraniteľností, hodnotenia skenerov alebo všeobecné úrovne rizika nerozhodujú o odmene; Overený skutočný obchodný vplyv áno.
požiadavky na podávanie správ
predložiť účinnú správu
Jasná a úplná správa nám pomáha rýchlo overiť problém, posúdiť jeho vplyv a naplánovať opravu. Uveďte nasledujúcich šesť položiek.
Odoslať prostredníctvom formulára správy o zabezpečení GamsGopostihnutá oblasť
Produkt, doména, URL, koncový bod, tok účtu alebo umiestnenie funkcie.
Súhrn zraniteľnosti
Typ zraniteľnosti, čo sa stane a bezpečnostné riziko, ktoré to vytvára.
testovacie prostredie a kroky
zariadenie, prehliadač, účet, predpoklady, vykonané kroky a skutočný výsledok.
podporné dôkazy
Upravené snímky obrazovky, nahrávky, požiadavky, odpovede, protokoly alebo bezpečný dôkaz konceptu.
Skutočný vplyv
Čo by mohol urobiť útočník, kto je ovplyvnený a požadované podmienky.
Kontaktné údaje
Vaše meno a aktívny e-mail pre spätnú väzbu a doplňujúce otázky.
zodpovedný výskum
Pravidlá testovania bezpečnosti
Ak chcete chrániť používateľov a platformu, dodržujte tieto pravidlá:
- Používajte iba svoje vlastné alebo autorizované účty
- nemajú prístup k viacerým údajom, ako je potrebné na preukázanie problému
- Okamžite zastavte testovanie, keď dosiahnete citlivé údaje
- žiadne odmietnutie služby, záťažové testy, skenovanie vo veľkom meradle alebo hrubá sila
- Žiadne sociálne inžinierstvo, phishing, spam alebo podvod
- Nerušte služby, neovplyvňujte používateľov ani nespôsobujte skutočnú finančnú stratu
- Maskujte úplné heslá, súbory cookie a tokeny v snímkach obrazovky, žiadostí alebo denníkoch, pričom si ponechajte len to, čo dokazuje problém
- Pred opravou alebo dohodnutým zverejnením nezverejňujte podrobnosti verejne
Ak si nie ste istí, či je test bezpečný alebo v rámci programu, zastavte testovanie a kontaktujte nás prostredníctvom formulára správy o zabezpečení.
Bežné otázky
Často kladené otázky
Nie. Za odmenu sa budú považovať iba správy, ktoré sú v rámci programu, predtým neznáme, reprodukovateľné a preukázateľne pôsobivé. Problémy s nízkym dopadom, duplicitné správy a zistenia, ktoré nemôžeme potvrdiť, nie sú zvyčajne oprávnené.
Vo všeobecnosti hodnotíme prvú úplnú správu, ktorá umožňuje nášmu tímu reprodukovať problém a potvrdiť jeho hlavnú príčinu. Samotná skoršia časová pečiatka nezaručuje prioritu, ak zostava neobsahuje dostatok informácií.
áno. Ak dokážete preukázať, že po oprave zostane zneužiteľná cesta alebo že nový problém má inú hlavnú príčinu a vplyv, odošlite ho ako novú správu a vysvetlite, ako súvisí s pôvodným problémom.
Nahláste zraniteľnosť súkromne prostredníctvom určeného kanála a nechajte primeraný čas na vyšetrovanie a nápravu. Nezverejňujte podrobnosti verejne predtým, ako sa problém vyrieši alebo sa dohodli na dohode o zverejnení oboma stranami.
Po potvrdení správy ako oprávnenej a dokončení potrebnej nápravy alebo kontroly rizík použijeme na potvrdenie informácií o odmene a platbe použité kontaktné údaje, ktoré ste poskytli. Zložité problémy môžu vyžadovať ďalší čas na overenie a nápravu.
Nechajte lov chrobákov začať!
Odoslať zraniteľné miesta so skutočnou hodnotou zabezpečenia a pomôcť nám posilniť bezpečnosť produktov a používateľov GamsGo.
Odoslať správu o zraniteľnosti