Sicherheits-Bounty-Programm

Außerhalb des Geltungsbereichs

In den folgenden Kategorien nehmen wir keine Beiträge an:

• Unbegrenzte Möglichkeit, Benutzerkonten zu erstellen
• Fähigkeit, eine über die Benutzeroberfläche nicht verfügbare Aktion ohne identifizierte Sicherheitsrisiken durchzuführen
• Möglichkeit des Versendens von E-Mails ohne Kontrolle über den Inhalt ohne jegliche Einschränkungen
• Jede Aktivität, die zu einer Unterbrechung unseres Dienstes führen könnte (DoS)
• Angriffe, die MiTM oder physischen Zugang zum Gerät eines Nutzers erfordern
• Clickjacking
• Spoofing von Inhalten und Textinjektion
• CSV-Injektion ohne Nachweis einer Sicherheitslücke
• Offenlegung nicht sensibler Informationen, wie Produktversion, Dateipfad auf einem Server, Stack-Trace usw.
• Offenlegung der Herkunft und der privaten IP-Adressen oder der Domänen, die auf private IP-Adressen verweisen
• Durchsickern sensibler Token (z. B. Token zum Zurücksetzen des Passworts) an vertrauenswürdige Dritte über eine sichere Verbindung (HTTPS)
• Fehlende bewährte Praktiken bei der SSL/TLS-Konfiguration
• Fehlende bewährte Verfahren bei der DNS-Konfiguration (DKIM/DMARC/SPF/TXT)
• Fehlende bewährte Praktiken in HTTP-Headern ohne Nachweis einer Schwachstelle
• Fehlende Benachrichtigungen über wichtige Aktionen
• Fehlende Schutzmechanismen oder bewährte Praktiken ohne Nachweis der tatsächlichen Sicherheitsauswirkungen für Benutzer oder System
• Bisher bekannte anfällige Bibliotheken ohne funktionierenden Proof of Concept
• Berichte, die nur Crash Dumps oder automatisierte Tool-Ausgaben ohne einen funktionierenden Konzeptnachweis enthalten
• Unauthentifiziertes An- und Abmelden CSRF
• Aufzählung der Benutzer
• Vektoren, die eine ungepatchte Umgebung erfordern (z. B. fehlende Windows-Updates)
• Vektoren, die Browser-Versionen erfordern, die 6 oder mehr Monate vor der Berichtseinreichung veröffentlicht wurden
• Fehlende Ratenbegrenzung bei Endpunkten
• Cross-Site Request Forgery (CSRF)

Wie man eine Schwachstelle meldet

Du kannst uns Sicherheitslücken per E-Mail an [email protected] melden .

Gib bitte in deiner E-Mail prägnant an, welche Sicherheitslücke du gefunden hast. Enthalte insbesondere die folgenden Informationen in deiner E-Mail:

• Welche Schwachstelle
• Bisherige Schritte
• Die gesamte URL
• Beteiligte Objekte (als Filter oder Eingabefelder)
• Screenshots und Bildschirmvideos sind sehr erwünscht
• Bitte geben Sie Ihre IP-Adresse in dem Fehlerbericht an. Diese Informationen werden vertraulich behandelt und dienen dazu, Ihre Testaktivitäten zu verfolgen und die Protokolle von unserer Seite aus zu überprüfen.
• Beschreibe das Problem so detailliert wie möglich und liefere Beispiele. Spezialisten werden deine Benachrichtigung erhalten.

Regeln

Übernimm Verantwortung und handle äußerst sorgfältig. Verwende bei der Untersuchung der Angelegenheit nur Methoden oder Techniken, die notwendig sind, um Schwachstellen zu finden oder zu demonstrieren

• Sei ein ethischer Hacker und respektiere die Privatsphäre anderer Nutzer
• Verwendedie von dir entdeckten Schwachstellen nicht für andere Zwecke als deine eigene Untersuchung
• Geben Sie Schwachstellen nicht an andere Parteien als Cryptohopper weiter, sondern geben Sie uns eine angemessene Zeit, um das Problem zu lösen, bevor Sie es der Öffentlichkeit oder Dritten mitteilen.
• Verwende keine Social Engineering-Methoden, um Zugang zu einem System zu erhalten.
• Installiere keine Hintertüren – nicht einmal zum Nachweis der Systemverwundbarkeit. Hintertüren gefährden die Sicherheit der Systeme.
• Ändere oder lösche keine Informationen im System. Wenn du Informationen für deine Untersuchung kopieren musst, kopiere niemals mehr als du benötigst. Wenn ein Datensatz ausreichend ist, gehe nicht weiter.
• Verändere das System nicht in irgendeiner Weise
• Kein unbefugter Zugriff auf Systeme. Dringe nur dann ein, wenn es absolut notwendig ist. Teile den Zugriff nicht mit anderen.
• Verwende keine Brute-Force-Techniken, wie z. B. die wiederholte Eingabe von Passwörtern, um Zugang zu Systemen zu erhalten.
• Sichere deine eigenen Systeme so gut wie möglich ab

Belohnungen

Unser Prämiensystem ist flexibel und hat keinen Mindest- oder Höchstbetrag; die Prämien richten sich nach Schweregrad, Auswirkung und Qualität des Berichts. Um eine Belohnung zu erhalten, müssen Sie Ihren Wohnsitz in einem Land haben, das nicht auf Sanktionslisten steht (z.B. Kuba, Iran, Nordkorea, Sudan und Syrien). Dies ist ein Ermessensprogramm und Cryptohopper behält sich das Recht vor, das Programm zu beenden; die Entscheidung, ob eine Belohnung ausgezahlt wird, liegt in unserem Ermessen.

Zusätzliche Überlegungen:

• Wenn es zu Doppelmeldungen kommt, wird nur die erste Meldung berücksichtigt, die wir erhalten.
• Für mehrere Sicherheitslücken, die durch ein einziges Problem verursacht werden, wird ein Kopfgeld ausgesetzt.
• Unsere Techniker müssen in der Lage sein, die Sicherheitslücke aus Ihrem Bericht zu reproduzieren. Berichte, die zu vage oder unklar sind, kommen nicht für eine Belohnung in Frage. Berichte, die klar formulierte Erklärungen und funktionierenden Code enthalten, werden mit größerer Wahrscheinlichkeit belohnt.