SKIKK Responsible Disclosure Program

Yleiskatsaus

SKIKK:lla järjestelmiemme turvallisuus ja asiakkaidemme tietojen suojaaminen ovat etusijalla.
Huolimatta ponnisteluistamme haavoittuvuuksia saattaa silti esiintyä. Siksi toivotamme tervetulleeksi vastuullisen tietoturvatutkimuksen ja tarjoamme tämän Responsible Disclosure Program -ohjelman, jotta tutkijat voivat ilmoittaa tietoturvaongelmista turvallisella ja eettisellä tavalla.

Tämä ohjelma on tarkoitettu yksinomaan vilpittömässä mielessä tehtävään tietoturvatutkimukseen. Se ei ole bug bounty -ohjelma eikä tarjoa rahallisia palkkioita.

Soveltamisala

Soveltamisalaan kuuluvat verkkotunnukset

• www.skikk.eu

Vain SKIKKin omistamat ja hallinnoimat järjestelmät kuuluvat soveltamisalaan. Kolmansien osapuolten palvelut, integraatiot ja ulkoiset palveluntarjoajat jäävät soveltamisalan ulkopuolelle, ellei toisin nimenomaisesti mainita.

 

Soveltamisalaan kuuluvat haavoittuvuuskategoriat

Olemme erityisesti kiinnostuneita haavoittuvuuksista, jotka voivat vaikuttaa järjestelmiemme tai asiakastietojen luottamuksellisuuteen, eheyteen tai saatavuuteen, mukaan lukien muun muassa:

• Sensitive Data Exposure

• Ongelmat autentikoinnin & istunnonhallinnan kanssa

• Insecure Direct Object References (IDOR)

• Injektiohaavoittuvuudet (SQL, command, jne.)

• Cross-Site Scripting (XSS) – stored tai reflected

• Remote Code Execution (RCE)

• Security misconfiguration

• Broken access control

• Directory / path traversal

• Kirjautumistietojen tai salaisten avainten paljastuminen

 

Laajuuden ulkopuoliset havainnot

Seuraavat asiat jäävät laajuuden ulkopuolelle ja ne voidaan sulkea ilman lisäarviointia:

• Sosiaalinen manipulointi, phishing, vishing tai identiteettivarastus

• Denial-of-Service (DoS / DDoS) -testaus

• Brute-force-hyökkäykset tai tilien luettelointi

• Automaattisten skannereiden tulokset ilman manuaalista validointia

• Ehdotukset heikon salasanapolitiikan osalta

• Puuttuvat HTTP-otsikot ilman todennettua riskiä

• Cookie-liput ei-arkaluonteisissa evästeissä

• Clickjacking tai CSRF ei-arkaluonteisilla sivuilla

• Sähköpostin SPF / DKIM / DMARC -määritysongelmia

• Avoimet uudelleenohjaukset ilman tietoturvavaikutusta

• Itsehyödyntäminen tai pelkästään teoreettiset ongelmat

• Ongelmat, jotka edellyttävät epärealistista käyttäjävuorovaikutusta

• Haavoittuvuudet, jotka SKIKK on jo tietoinen

• Ilmoitukset, jotka perustuvat vuodettuihin, varastettuihin tai vaarantuneisiin kirjautumistietoihin

 

Tutkimussäännöt

Testauksessa sinun täytyy:

1. Testata ainoastaan tileillä, jotka omistat ja hallinnoit itse

2. Välttää toimia, jotka heikentävät palvelun saatavuutta

3. Olla pääsemättä muiden käyttäjien tietoihin, muuttamatta tai poistamatta niitä

4. Olla lataamatta haittaohjelmia tai haitallisia hyötykuormia

5. Älä hyödynnä haavoittuvuuksia enempää kuin proof of concept edellyttää

6. Älä suorita fyysisiä tietoturvatestejä

7. Älä julkaise haavoittuvuuksia ennen kuin ne on korjattu

8. Poista kaikki testauksen aikana saadut arkaluonteiset tiedot

Näiden sääntöjen noudattamatta jättäminen voi johtaa ohjelmasta poissulkemiseen.

 

Haavoittuvuuden ilmoittaminen

Ilmoitukset voidaan lähettää sähköpostitse osoitteeseen:

security@skikk.eu

Ilmoituksesi tulee sisältää seuraavat tiedot:

• Selkeä kuvaus ongelmasta

• Asiaan liittyvät URL-osoitteet tai endpoint(t)

• Toistamiseen tarvittavat vaiheet

• Proof of concept tarvittaessa

• Arvio vaikutuksesta

Puutteelliset tai epäselvät ilmoitukset voidaan hylätä.

 

Sitoumuksemme

Jos noudatat tätä käytäntöä, sitoudumme:

• Vahvistaa ilmoituksesi vastaanottaminen

• Arvioida ja validoida ilmoitetut ongelmat

• Pitää sinut tarvittaessa ajan tasalla edistymisestä

• Olla ryhtymättä oikeudellisiin toimiin vilpittömässä mielessä tehtyä tutkimusta vastaan

• Käsitellä ilmoituksesi luottamuksellisesti

Ratkaisuajat voivat vaihdella vakavuuden ja monimutkaisuuden mukaan.

 

Ei palkkioita

SKIKK ei tarjoa lainkaan rahallisia palkkioita, bountyjä tai maksuja ilmoitetuista haavoittuvuuksista. Tämä on vastuullinen julkistamisohjelma, joka perustuu vilpittömään yhteistyöhön – ei maksullinen bug bounty -ohjelma.

Arvostamme suuresti tietoturvatutkijoiden käyttämää aikaa ja vaivaa, ja tunnustamme mielellämme pätevät panokset silloin kun se on asianmukaista, mutta osallistuminen on vapaaehtoista eikä oikeuta mihinkään korvaukseen.

 

Oikeudelliset ehdot

Lähettämällä ilmoituksen vahvistat, että:

• Olet ilmoituksen alkuperäinen tekijä

• Myönnät SKIKKille oikeuden käyttää ilmoitusta ja ryhtyä sen edellyttämiin toimenpiteisiin

• Et julkista haavoittuvuutta ilman kirjallista lupaa

• Et käytä SKIKKin nimeä tai brändiä markkinointiin

 

Lopuksi

Tätä ohjelmaa voidaan muuttaa tai lopettaa milloin tahansa ilman ennakkoilmoitusta. Osallistuminen on vapaaehtoista eikä oikeuta mihinkään palkkioon tai korvaukseen.

Kiitos, että autat pitämään SKIKKin ja asiakkaamme turvassa.