Program Security Bounty

Di luar Cakupan

Kami tidak menerima kiriman dalam kategori berikut ini:

• Kemampuan untuk membuat akun pengguna tanpa batas
• Kemampuan untuk melakukan tindakan yang tidak tersedia melalui antarmuka pengguna tanpa risiko keamanan yang teridentifikasi
• Kemampuan untuk mengirim email tanpa kendali atas konten tanpa batas
• Aktivitas apa pun yang dapat menyebabkan gangguan pada layanan kami (DoS)
• Serangan yang membutuhkan MiTM atau akses fisik ke perangkat pengguna
• Clickjacking
• Spoofing konten dan injeksi teks
• Injeksi CSV tanpa menunjukkan kerentanan
• Pengungkapan informasi yang tidak sensitif, seperti versi produk, jalur file di server, jejak tumpukan, dll.
• Pengungkapan alamat IP asal dan alamat IP pribadi atau domain yang mengarah ke alamat IP pribadi
• Kebocoran token sensitif (misalnya token pengaturan ulang kata sandi) kepada pihak ketiga yang tepercaya pada koneksi aman (HTTPS)
• Praktik terbaik hilang dalam konfigurasi SSL/TLS
• Tidak adanya praktik terbaik dalam konfigurasi DNS (DKIM/DMARC/SPF/TXT)
• Hilangnya praktik terbaik dalam header HTTP tanpa menunjukkan kerentanan
• Pemberitahuan yang terlewatkan tentang tindakan penting
• Tidak adanya mekanisme perlindungan atau praktik terbaik tanpa adanya demonstrasi dampak keamanan yang nyata bagi pengguna atau sistem
• Pustaka yang sebelumnya diketahui rentan tanpa bukti konsep yang berfungsi
• Laporan yang hanya menyertakan crash dump atau keluaran alat otomatis tanpa bukti konsep yang berfungsi
• CSRF yang tidak diautentikasi / masuk / keluar
• Enumerasi pengguna
• Vektor yang membutuhkan lingkungan yang belum ditambal (misalnya pembaruan Windows yang tidak ada)
• Vektor yang memerlukan versi browser yang dirilis 6 bulan atau lebih sebelum penyerahan laporan
• Pembatasan laju yang hilang pada titik akhir
• Pemalsuan Permintaan Lintas Situs (CSRF)

Cara mengirimkan kerentanan

Anda dapat mengirimkan kerentanan kepada kami melalui email ke [email protected].

Sebutkan secara singkat dalam email Anda kerentanan apa yang Anda temukan. Secara khusus sertakan hal-hal berikut ini dalam email Anda:

• Kerentanan yang mana
• Langkah-langkah yang Anda lakukan
• Seluruh URL
• Objek (sebagai filter atau bidang entri) yang terlibat
• Tangkapan layar dan video layar sangat dihargai
• Berikan alamat IP Anda dalam laporan bug, yang akan dirahasiakan dan digunakan untuk melacak aktivitas pengujian Anda dan meninjau log dari pihak kami
• Jelaskan masalah yang Anda temukan sejelas dan sedetail mungkin dan berikan bukti yang mungkin Anda miliki. Anda dapat mengasumsikan bahwa notifikasi akan diterima oleh spesialis

Aturan

Bertanggung jawab dan bertindaklah dengan sangat hati-hati dan cermat. Saat menyelidiki masalah ini, hanya gunakan metode atau teknik yang diperlukan untuk menemukan atau menunjukkan kerentanan

• Jadilah peretas yang beretika dan hormati privasi pengguna lain
• Jangan gunakan kerentanan yang Anda temukan untuk tujuan selain penyelidikan Anda sendiri
• Jangan mengungkapkan kerentanan kepada pihak lain selain Cryptohopper, berikan kami waktu yang wajar untuk menyelesaikan masalah sebelum pengungkapan kepada publik atau pihak ketiga
• Jangan gunakan rekayasa sosial untuk mendapatkan akses ke sistem
• Jangan memasang back door - bahkan untuk menunjukkan kerentanan sistem. Back door akan membahayakan keamanan sistem
• Jangan mengubah atau menghapus informasi apa pun di dalam sistem. Jika Anda perlu menyalin informasi untuk investigasi Anda, jangan pernah menyalin lebih dari yang Anda butuhkan. Jika satu catatan sudah cukup, jangan melangkah lebih jauh
• Jangan mengubah sistem dengan cara apa pun
• Susup ke dalam sebuah sistem hanya jika benar-benar diperlukan. Jika Anda berhasil menyusup ke sebuah sistem, jangan berbagi akses dengan orang lain
• Jangan gunakan teknik brute force, seperti memasukkan kata sandi berulang kali, untuk mendapatkan akses ke sistem
• Amankan sistem Anda sendiri seketat mungkin

Penghargaan

Kami menjaga fleksibilitas dengan sistem penghargaan kami, dan tidak memiliki jumlah minimum/maksimum; penghargaan didasarkan pada tingkat keparahan, dampak, dan kualitas laporan. Untuk menerima hadiah, Anda harus tinggal di negara yang tidak termasuk dalam daftar sanksi (misalnya, Kuba, Iran, Korea Utara, Sudan & Suriah). Ini adalah program kebijaksanaan dan Cryptohopper berhak untuk membatalkan program ini; keputusan apakah akan membayar hadiah adalah atas kebijakan kami

Pertimbangan tambahan:

• Ketika terjadi duplikasi, kami hanya memberikan laporan pertama yang kami terima
• Beberapa kerentanan yang disebabkan oleh satu masalah yang mendasari akan diberikan satu bounty
• Teknisi kami harus dapat mereproduksi cacat keamanan dari laporan Anda. Laporan yang terlalu samar atau tidak jelas tidak memenuhi syarat untuk mendapatkan hadiah. Laporan yang menyertakan penjelasan dan kode kerja yang ditulis dengan jelas akan lebih berpeluang mendapatkan hadiah