Odpowiedzialne ujawnianie informacji

SSL

Odpowiedzialne ujawnianie informacji

Nasi klienci ufają nam, że zapewnimy bezpieczeństwo i poufność ich danych. Traktujemy kwestię bezpieczeństwa bardzo poważnie i nieustannie pracujemy nad tym, aby ta zaufanie było w pełni uzasadnione. Chcieliby Państwo zgłosić jakąś sprawę? Prosimy o kontakt pod adresem security@groupmap.com

Odpowiedzialne ujawnianie informacji

Zachęcamy wszystkich, którzy stosują zasadę odpowiedzialnego ujawniania i przestrzegają naszych zasad oraz warunków świadczenia usług, do udziału w naszym programie zgłaszania luk w zabezpieczeniach. Prosimy o unikanie testów automatycznych i przeprowadzanie testów bezpieczeństwa wyłącznie przy użyciu Państwa własnych danych. Prosimy o nieujawnianie żadnych informacji dotyczących luk w zabezpieczeniach do czasu ich usunięcia przez nas. Możemy, według własnego uznania, przyznać wyróżnienie za wysokiej jakości, istotne zgłoszenia, które wskazują na rzeczywiste zagrożenie bezpieczeństwa.

Można zgłaszać luki w zabezpieczeniach, kontaktując się z nami pod adresem security@groupmap.com. Prosimy o dołączenie dowodu wykonalności. Odpowiemy na Państwa zgłoszenie tak szybko, jak to możliwe, i nie podejmiemy żadnych działań prawnych, o ile będą Państwo przestrzegać zasad.

Zakres:

• secure.teamretro.com

Wyłączenia:

• *.eu.teamretro.com
• ww1.teamretro.com
• ww2.teamretro.com
• ww3.teamretro.com
• www.teamretro.com
• at.teamretro.com
• help.teamretro.com
• feedback.teamretro.com
• mail.teamretro.com
• status.teamretro.com
• track.teamretro.com
• games.teamretro.com
• planning-poker.teamretro.com
• www-assets.teamretro.com

Uznane luki w zabezpieczeniach to:

• Atak typu Cross-Site Scripting (XSS)
• Otwarte przekierowanie
• Fałszowanie żądań międzywitrynowych (CSRF)
• Włączanie poleceń/plików/adresów URL
• Problemy z uwierzytelnianiem
• Wykonanie kodu
• Wstrzyknięcia kodu lub danych z bazy danych

Niniejszy program zgłaszania luk w zabezpieczeniach NIE obejmuje:

• Wykazywanie kont i adresów e-mail
• Atak typu „odmowa usługi” (DoS)
• Ataki, które mogłyby zagrozić niezawodności lub integralności naszej działalności
• Ataki spamowe
• Clickjacking na stronach bez uwierzytelniania i/lub wrażliwych zmianach stanu
• Ostrzeżenia dotyczące treści mieszanych
• Brak protokołu DNSSEC
• Fałszowanie treści / wstawianie tekstu
• Ataki czasowe
• Inżynieria społeczna
• Phishing
• Pliki cookie typu „insecure” w przypadku plików cookie o charakterze niepoufnym lub plików cookie stron trzecich
• Luki w zabezpieczeniach wymagające niezwykle mało prawdopodobnej interakcji ze strony użytkownika
• Luki w zabezpieczeniach wymagające fizycznego dostępu do komputera użytkownika
• Brakujące nagłówki zabezpieczeń, które nie prowadzą bezpośrednio do luki w zabezpieczeniach
• Brak najlepszych praktyk (wymagamy dowodów na istnienie luki w zabezpieczeniach)
• Raporty generowane przez automatyczne narzędzia skanujące, których wpływ nie został wykazany
• Brakujące nagłówki zabezpieczeń bez wykazanego sposobu wykorzystania luki
• Problemy z konfiguracją protokołów SSL/TLS bez wykazanego sposobu wykorzystania luki
• Brak ograniczenia szybkości reakcji
• Self-XSS (wymaga od ofiary wklejenia kodu do własnej konsoli)
• CSRF przy logowaniu/wylogowaniu
• Luki w zabezpieczeniach wymagające korzystania z przestarzałych lub nieobsługiwanych przeglądarek
• Zgłoszenia zduplikowane lub problemy znane już wcześniej

Wymagania dotyczące zgłoszeń

Wszystkie raporty muszą zawierać poniższe informacje, w przeciwnym razie nie zostaną rozpatrzone:

• Adres URL lub punkt końcowy, którego dotyczy problem
• Instrukcja odtworzenia krok po kroku
• Potwierdzenie słuszności koncepcji (zrzuty ekranu, film lub kod)
• Opis skutków dla bezpieczeństwa

Automatyczne skanowanie jest zabronione bez uprzedniej pisemnej zgody. Wszystkie testy muszą być przeprowadzane ręcznie, a wszelkie szczegóły dotyczące programu ujawniania luk w zabezpieczeniach muszą pozostać poufne.

Wyrazy podziękowania kierujemy do następujących badaczy zajmujących się bezpieczeństwem:

• Abin Joseph
• daniel_v
• Ananda Dhakal
• Luiz Viana
• Aman Gupta
• Vipul Sahu
• Hsu Myat Noe
• Tomasz Bartoszewski
• Harry Gertos
• Sathwik Veeramaneni
• Yassine Nafiai
• SIDN SOC
• Burhan Chhotaudepur
• Faizan Nehal
• Aaditya Kumar Sharma
• Syed Ahsan Raza
• Mohammed Eldawody
• Yaniv Shoshani
• Lucas Werkmeister
• Ankit Rathva