Πολιτική Γνωστοποίησης Ευπαθειών (VDP)

Εκτιμούμε την έρευνα ασφάλειας και καλωσορίζουμε αναφορές καλή τη πίστει. Αυτή τη στιγμή δεν δεχόμαστε εξωτερικά pentests .

Πεδίο εφαρμογής

• skyalo.com, *.skyalo.com

• Εφαρμογές Skyalo για κινητά (τελευταίες δημόσιες εκδόσεις)

Εκτός πεδίου εφαρμογής: υπηρεσίες τρίτων, DoS/υπερφόρτωση κίνησης, brute force, κοινωνική μηχανική, φυσικές επιθέσεις, αναφορές spam/DMARC, γνωστοποίηση έκδοσης χωρίς αντίκτυπο, clickjacking χωρίς αποδεδειγμένο αντίκτυπο, ελλείποντα security headers χωρίς exploit.

Κανόνες Συμμετοχής

• Ενεργήστε καλή τη πίστει και αποφύγετε παραβιάσεις ιδιωτικότητας ή υποβάθμιση της υπηρεσίας.

• Χρησιμοποιήστε μόνο τους δικούς σας λογαριασμούς/δεδομένα.

• Μην αποκτάτε πρόσβαση ή τροποποιείτε δεδομένα που δεν είναι δικά σας. Αν αποκτήσετε κατά λάθος πρόσβαση σε μη δημόσια δεδομένα, σταματήστε αμέσως και ενημερώστε μας.

• Όχι αυτοματοποιημένο scanning που επηρεάζει τη διαθεσιμότητα ή τη σταθερότητα.

Πώς να Αναφέρετε

Email [email protected] με:

• Επηρεαζόμενος host/endpoint και περιβάλλον

• Σαφή βήματα αναπαραγωγής

• Ελάχιστο PoC (αίτημα/απάντηση HTTP, στιγμιότυπα οθόνης)

• Αξιολόγηση αντίκτυπου και εκτιμώμενη σοβαρότητα (προτιμάται CVSS v3.1)

• Χρονικό παράθυρο δοκιμών και source IPs

Παρακαλούμε μην συμπεριλαμβάνετε μυστικά (διαπιστευτήρια, tokens, ακατέργαστα dumps βάσεων δεδομένων) στο email· κάντε redaction ή απόκρυψη ευαίσθητων δεδομένων. Αν χρειάζεστε κρυπτογράφηση, επικοινωνήστε μαζί μας και θα κανονίσουμε έναν ασφαλή τρόπο.

Ασφαλής Λιμένας

Αν ακολουθήσετε αυτή την πολιτική, δεν θα προχωρήσουμε σε νομικές ενέργειες και θα θεωρήσουμε την έρευνά σας εξουσιοδοτημένη για τον περιορισμένο σκοπό της αναφοράς του ζητήματος.

Ανταμοιβές & Αναγνώριση

Προς το παρόν δεν προσφέρουμε χρηματικές ανταμοιβές. Για επιβεβαιωμένα, μη διπλότυπα ζητήματα προσφέρουμε δημόσια αναγνώριση (Hall of Fame) και, κατόπιν αιτήματος, επιστολή εκτίμησης. Οι διπλότυπες αναφορές μπορεί να κλείνονται χωρίς πρόσθετη αναγνώριση· η πίστωση αποδίδεται στην πρώτη έγκυρη αναφορά που θα λάβουμε.

Χρονοδιαγράμματα & SLAs

• Επιβεβαίωση παραλαβής: εντός 3 εργάσιμων ημερών

• Ενημέρωση κατάστασης triage: μετά την αξιολόγηση

• Συντονισμένη γνωστοποίηση: παρακαλούμε να μη δημοσιεύσετε λεπτομέρειες έως ότου υπάρξει διαθέσιμη διόρθωση (έως 90 ημέρες)

Στόχος αποκατάστασης: Κρίσιμο: 7 ημέρες· Υψηλό: 30 ημέρες· Μεσαίο: 90 ημέρες· Χαμηλό: σε backlog/όπως προγραμματιστεί.