Сообщение об уязвимостях и политика ответственного раскрытия
Уважаемые пользователи и посетители!
onlybio рассматривает защиту персональных данных и безопасность аккаунтов своих пользователей как один из важнейших приоритетов. Наша платформа работает на инфраструктуре, спроектированной в соответствии с современными стандартами безопасности, регулярно проверяемой и постоянно совершенствуемой. Вместе с тем, осознавая, что ни одна программная система не является полностью безошибочной, мы придаём большое значение открытому и конструктивному сотрудничеству с исследователями безопасности и нашими пользователями.
Что делать, если вы обнаружили уязвимость?
Если вы обнаружите на нашей платформе какую-либо уязвимость, ошибку, позволяющую получить несанкционированный доступ, утечку данных или иную слабость, способную нарушить нормальную работу системы, просим вас незамедлительно сообщить об этом нашей команде исключительно по указанному ниже адресу электронной почты:
[email protected]Чтобы ваше сообщение могло быть рассмотрено быстро и точно, крайне важно, чтобы оно содержало следующие сведения:
- Тип уязвимости и затрагиваемые ею страница, адрес или функция;
- Пошаговое описание того, как была обнаружена уязвимость и как её можно воспроизвести;
- При наличии — снимки экрана или технические сведения в виде доказательства концепции (proof of concept);
- Ваша оценка возможных последствий уязвимости для пользователей или системы.
Каждое поступившее к нам сообщение будет тщательно изучено, а подтверждённые уязвимости — устранены в кратчайшие сроки. Лица, добросовестно сообщившие об уязвимости в соответствии с настоящей политикой, по их желанию будут награждены значком Охотник за багами, который отображается в их профиле.
Обязательные правила
Для надлежащего функционирования процесса ответственного раскрытия лица, направляющие сообщения, обязаны неукоснительно соблюдать следующие правила:
- Обнаруженная уязвимость не должна передаваться третьим лицам, группам, на форумы или в социальные сети до тех пор, пока она не будет устранена нашей командой и не будет получено письменное разрешение на её публичное раскрытие.
- Не допускаются действия, выходящие за рамки минимально необходимого для подтверждения наличия уязвимости; запрещается получать доступ к аккаунтам других пользователей, а также просматривать, изменять, удалять или копировать их данные.
- В случае непреднамеренного доступа к каким-либо данным через уязвимость эти данные должны быть немедленно и безвозвратно удалены и ни в коем случае не должны храниться или использоваться.
- Запрещаются попытки перегрузки (DDoS), автоматизированного массового сканирования, социальной инженерии или физических атак, ставящих под угрозу доступность системы.
- Запрещается выдвигать какие-либо материальные требования в обмен на сообщение, а также использовать формулировки, содержащие шантаж или угрозы.
Злоупотребления и правовые последствия
Злоупотребление обнаруженными уязвимостями или полученными данными в целях извлечения личной выгоды, причинения вреда другим пользователям, нарушения работы платформы, раскрытия или продажи данных категорически недопустимо.
В случае выявления подобных действий аккаунты и IP-адреса причастных лиц будут заблокированы навсегда без предварительного уведомления; системные журналы, IP-адреса и все прочие технические доказательства будут сохранены и переданы компетентным органам. Кроме того, в отношении виновных будет подано заявление о преступлении и инициированы все необходимые правовые процедуры в соответствии со всем применимым законодательством, в первую очередь со статьями 243, 244 и 245 Уголовного кодекса Турции № 5237, регулирующими преступления в сфере информационных технологий, а также с Законом № 6698 «О защите персональных данных». Мы оставляем за собой право воспользоваться своими законными правами для возмещения любого материального и морального ущерба, который может быть причинён.
В отношении лиц, действующих в соответствии с настоящей политикой и добросовестно сообщивших об уязвимости, не будут предприниматься никакие правовые меры в связи с ограниченным тестированием, проведённым исключительно в целях подачи сообщения.
Благодарим вас за вклад в создание безопасной платформы и заранее признательны за ваше понимание и сотрудничество.
С уважением,
Команда onlybio