Πολιτική γνωστοποίησης ευπαθειών (VDP)

1 Εισαγωγή

Στη Scatter Instruments, η ασφάλεια των συστημάτων μας και η προστασία των δεδομένων των πελατών είναι κορυφαία προτεραιότητα. Εκτιμούμε τον ρόλο των ανεξάρτητων ερευνητών ασφαλείας που μας βοηθούν να διατηρούμε υψηλό επίπεδο ασφαλείας.

Δεσμευόμαστε να συνεργαζόμαστε με την κοινότητα ασφαλείας για την έγκαιρη και υπεύθυνη επίλυση επιβεβαιωμένων ευπαθειών.

2 Ασφαλής λιμένας

Η Scatter Instruments δεν θα κινήσει νομικές διαδικασίες κατά ατόμων που εντοπίζουν και αναφέρουν ευπάθειες ασφαλείας σύμφωνα με την παρούσα πολιτική. Θεωρούμε εξουσιοδοτημένη την έρευνα ασφαλείας που γίνεται βάσει αυτής.

Για να καλύπτεστε από αυτή την προστασία, πρέπει:

• Να τηρείτε όλους τους κανόνες και τις οδηγίες της πολιτικής
• Να μη θέτετε σε κίνδυνο το απόρρητο ή την ασφάλεια των πελατών μας και των δεδομένων τους
• Να μη διαταράσσετε ούτε να υποβαθμίζετε με κανέναν τρόπο τις υπηρεσίες μας
• Να ενεργείτε καλή τη πίστει ώστε να αποφεύγονται παραβιάσεις απορρήτου, καταστροφή δεδομένων και διακοπή των υπηρεσιών μας

3 Πεδίο εφαρμογής

Η πολιτική ισχύει για τους εξής δημόσια προσβάσιμους ιστότοπους και υπηρεσίες της Scatter Instruments:

Συστήματα εντός πεδίου

• scatterinstrumentsonline.com
• www.scatterinstrumentsonline.com
• Κάθε άλλος υποτομέας του scatterinstrumentsonline.com

Συστήματα και ενέργειες εκτός πεδίου

Κάθε υπηρεσία που δεν αναφέρεται ρητά θεωρείται εκτός πεδίου. Απαγορεύονται αυστηρά οι εξής ενέργειες:

• Δοκιμές σε υπηρεσίες τρίτων (πάροχοι πληρωμών, αναλυτικών στοιχείων, widgets κοινωνικών δικτύων)
• Φυσικές επιθέσεις κατά των εγκαταστάσεων ή του εξοπλισμού μας
• Κοινωνική μηχανική (phishing, vishing) κατά υπαλλήλων, συνεργατών ή πελατών μας
• Επιθέσεις άρνησης υπηρεσίας (DoS ή DDoS)
• Δημοσίευση spam ή χρήση αυτοματοποιημένων εργαλείων για επιθετική ανίχνευση του ιστότοπου
• Πρόσβαση, τροποποίηση ή υπεξαίρεση δεδομένων που δεν σας ανήκουν

4 Πώς να αναφέρετε μια ευπάθεια

Αν πιστεύετε ότι βρήκατε ευπάθεια ασφαλείας, στείλτε την αναφορά σας με email στο contact@scatterinstruments.com.

Για ευαίσθητες πληροφορίες, σας προτρέπουμε να κρυπτογραφήσετε την αναφορά με το κλειδί PGP μας, διαθέσιμο στο αρχείο security.txt.

Μια καλή αναφορά περιλαμβάνει:

• Σαφή και περιγραφικό τίτλο
• Τον τύπο της ευπάθειας και τον πιθανό αντίκτυπό της
• Την πλήρη διεύθυνση URL ή τον πόρο όπου εντοπίστηκε η ευπάθεια
• Λεπτομερείς οδηγίες βήμα προς βήμα για την αναπαραγωγή του προβλήματος
• Τυχόν κώδικα απόδειξης ιδέας, στιγμιότυπα ή εγγραφές οθόνης

5 Η δέσμευσή μας

Όταν αναφέρετε μια ευπάθεια σύμφωνα με την πολιτική, δεσμευόμαστε να:

• Επιβεβαιώσουμε την παραλαβή της αναφοράς εντός 2–3 εργάσιμων ημερών
• Σας δώσουμε σημείο επικοινωνίας και να σας ενημερώνουμε για την πρόοδο
• Διερευνήσουμε και επικυρώσουμε την αναφορά σας
• Διορθώσουμε τις επιβεβαιωμένες ευπάθειες το συντομότερο εύλογα δυνατό
• Να μη δημοσιοποιήσουμε λεπτομέρειες της ευπάθειας πριν υπάρξει διόρθωση

6 Ανταμοιβές και αναγνώριση

Αν και η Scatter Instruments δεν προσφέρει προς το παρόν χρηματικές ανταμοιβές (bug bounty), είμαστε βαθιά ευγνώμονες για τη συμβολή της κοινότητας.

Για επιβεβαιωμένες και επιλέξιμες αναφορές προσφέρουμε, με τη συγκατάθεσή σας, δημόσια αναγνώριση στον Τιμητικό πίνακα ερευνητών ασφαλείας.