SKIKK Responsible Disclosure Program

Přehled

Ve společnosti SKIKK je bezpečnost našich systémů a ochrana dat našich zákazníků na prvním místě.
Přes veškeré naše úsilí mohou stále existovat zranitelnosti. Proto vítáme odpovědný bezpečnostní výzkum a nabízíme tento Responsible Disclosure Program, aby mohli výzkumníci hlásit bezpečnostní problémy bezpečným a etickým způsobem.

Tento program je určen výhradně pro bezpečnostní výzkum v dobré víře. Nejde o program odměn za nalezené chyby (bug bounty) a nenabízí žádné finanční odměny.

Scope

Domény v rámci scope

www.skikk.eu

Do scope spadají pouze systémy vlastněné a provozované společností SKIKK. Služby třetích stran, integrace a externí poskytovatelé jsou mimo scope, pokud není výslovně uvedeno jinak.

Kategorie zranitelností v rámci scope

Zajímají nás zejména zranitelnosti, které mohou ovlivnit důvěrnost, integritu nebo dostupnost našich systémů nebo zákaznických dat, včetně, ale nikoli výhradně:

Sensitive Data Exposure
Problémy s autentizací & správou relací
Insecure Direct Object References (IDOR)
Injection zranitelnosti (SQL, command, atd.)
Cross-Site Scripting (XSS) – stored nebo reflected
Remote Code Execution (RCE)
Security misconfiguration
Broken access control
Directory / path traversal
Odhalení přihlašovacích údajů nebo secrets

Nálezy mimo scope

Následující záležitosti jsou mimo scope a mohou být uzavřeny bez dalšího posouzení:

Sociální inženýrství, phishing, vishing nebo vydávání se za jiného
Testování Denial-of-Service (DoS / DDoS)
Brute-force útoky nebo výčet účtů
Výstup automatizovaných skenerů bez ruční validace
Návrhy na slabou politiku hesel
Chybějící HTTP hlavičky bez prokázaného rizika
Příznaky cookies na necitlivých cookies
Clickjacking nebo CSRF na necitlivých stránkách
Konfigurační problémy e-mailového SPF / DKIM / DMARC
Otevřené přesměrování bez bezpečnostního dopadu
Vlastní zneužití nebo výhradně teoretické problémy
Problémy vyžadující nerealistickou interakci uživatele
Zranitelnosti, které jsou již SKIKK známy
Hlášení na základě uniklých, odcizených nebo kompromitovaných přihlašovacích údajů

Pravidla pro výzkum

Při testování musíš:

Testovat pouze na účtech, které vlastníš a spravuješ
Vyvarovat se jednání, která narušují dostupnost služby
Nepřistupovat k datům jiných uživatelů, neupravovat je ani nemazat
Nenahrávat malware ani škodlivé payloady
Nevyužívat zranitelnosti nad rámec proof of concept
Neprovádět fyzické bezpečnostní testy
Nezveřejňovat zranitelnosti před jejich opravením
Smazat veškeré citlivé údaje získané během testování

Nedodržení těchto pravidel může vést k vyloučení z programu.

Nahlášení zranitelnosti

Hlášení lze zasílat e-mailem na adresu:

security@skikk.eu

Vaše hlášení musí obsahovat:

Jasný popis problému
Dotčené URL nebo endpoint(y)
Kroky k reprodukci
Proof of concept, je-li k dispozici
Odhad dopadu

Neúplná nebo nejasná hlášení mohou být odmítnuta.

Náš závazek

Pokud budete dodržovat tuto politiku, zavazujeme se:

Potvrzení přijetí tvého hlášení
Posouzení a ověření nahlášených problémů
Průběžné informování tam, kde je to vhodné
Nepodnikání právních kroků proti výzkumu v dobré víře
Důvěrné zacházení s tvým hlášením

Lhůty pro řešení se mohou lišit v závislosti na závažnosti a složitosti.

Žádné odměny

SKIKK nenabízí žádné finanční odměny, bounties ani výplaty za nahlášené zranitelnosti. Jedná se o program responsible disclosure založený na spolupráci v dobré víře, nikoli o placený bug bounty program.

Velmi si vážíme času a úsilí bezpečnostních výzkumníků a rádi uznáváme platné příspěvky tam, kde je to vhodné, avšak účast je dobrovolná a nezakládá nárok na jakoukoli odměnu.

Právní podmínky

Podáním hlášení potvrzuješ, že:

Jsi původním autorem hlášení
Udělujete SKIKK právo hlášení použít a zpracovat
Zranitelnost nezveřejníš bez písemného souhlasu
Jméno ani značku SKIKK nepoužiješ k propagaci

Závěrem

Tento program může být kdykoli změněn nebo ukončen bez předchozího upozornění. Účast je dobrovolná a nezakládá nárok na žádnou odměnu ani náhradu.

Děkujeme, že pomáháš chránit SKIKK a naše zákazníky.