Turvalisus Omarchys
Teata haavatavusest
Kui arvad, et leidsid Omarchyst turvanõrkuse, anna sellest privaatselt teada Omarchy turvameeskonnale meie HackerOne programmi kaudu, et saaksime seda enne avalikustamist uurida ja parandada. Kinnitatud nõrkuste eest makstakse HackerOne’i kaudu preemiat.
hackerone.com/omarchyPalun ära teata võimalikest haavatavustest avalikult GitHub Issues'is, Discordis ega sotsiaalmeedias, enne kui need on lahendatud.
Mis on haavatavus?
Me peame viga turvaaukuks, kui seda saab ära kasutada tähendusliku turvapiiri ületamiseks: ebausaldusväärne või madalama privileegiga osapool saab ligipääsu, õigused või kontrolli, mida tal juba polnud.
Kood, mis võiks olla robustsem, kuid ei ületa turvapiiri, on pigem täiustus kui turvaauk. Võime siiski kavandatud paranduse liita ja teatjat oma väljalaskemärkmetes tänada.
Meie turvatunnustuste lehele pääsemise õigus sõltub sellest, kas teade tuvastab kinnitatud turvaaugu, mitte selle raskusastmest.
Mida lisada
Anna meile piisavalt teavet, et probleemist aru saada ja seda reprodutseerida:
- Mõjutatud komponent ja Omarchy versioon.
- Selgitus selle kohta, mida ründaja saab teha enne ja pärast ärakasutamist.
- Probleemi reprodutseerimise sammud ja võimalik kontseptsiooni tõestus.
- Sinu eelistatud kontaktandmed järelküsimuste jaoks.
Vastutustundlik avalikustamine
Palun tegutse haavatavuste uurimisel ja teatamisel heas usus:
- Testi ainult süsteeme ja kontosid, mis sulle kuuluvad või mille testimiseks on sul selgesõnaline luba.
- Väldi privaatsusrikkumisi, häirimist, andmete hävitamist ja teenuse halvendamist.
- Ära kasuta turvaauku ära rohkem, kui on vaja selle demonstreerimiseks.
- Anna meile mõistlik võimalus probleem uurida ja lahendada, enne kui detailid avaldad.
Me vaatame su teate üle ja hoiame sind kursis, niipalju kui saame, samal ajal kui töötame lahenduse poole.
Tunnustused
Teadlasi, kes teatavad kinnitatud turvahaavatavusest privaatselt ja annavad meile võimaluse parandus tarnida, tänatakse turvatunnustuste lehel. Aktsepteeritud täiustusi, mis ei ületa turvapiiri, võidakse siiski meie väljalaskemärkmetes tunnustada.
Tunnustused viitavad iga teatja X-i profiilile ja näitavad nende avatari. Duplikaatteadete puhul saab tunnustuse ainult esimene teatja.
Tavalised vead ja tugi
Kõigega, mis pole turvaauk, palun kasuta Omarchy probleemijälgijat.
Teatamine e-postiga
Kui sa ei taha HackerOne’i kontot luua, võid oma raporti saata ka e-postiga aadressile security@omarchy.org.