Neinvazivní techniky
Používejte pouze neinvazivní techniky · nenarušujte dostupnost služeb ani integritu dat.
RESPONSIBLE DISCLOSURE
Zranitelnost nahlaste rovnou nám. Zveřejníme ji společně.
Příjem reportu potvrdíme do 72 hodin, plán opravy sdělíme do 14 dnů a zveřejnění koordinujeme do 90 dnů. Vůči výzkumníkům, kteří jednají v dobré víře, platí safe harbor. Síň slávy zatím čeká na první jméno.
Nález nezůstane bez odpovědi
Pokud jste objevili zranitelnost v systémech CIAD, dejte nám vědět. Odpovídáme rychle, jednáme férově a děkujeme veřejně. Ústav, který audituje cizí systémy, musí unést nález i ve svých vlastních.
Co smíte testovat. A co ne.
- V rozsahu:
- doména ciad.cz a její subdomény (mimo jiné www, forms, api, team) a mailová infrastruktura ciad.cz.
- Mimo rozsah:
- systémy klientů a třetích stran (k jejich testování nemůžeme udělit oprávnění), útoky na dostupnost (DoS/DDoS), social engineering, phishing, fyzické útoky a spam.
Testujte, ale nic nerozbijte.
Cizí data
Pokud narazíte na cizí data, zastavte se a nahlaste nález; data nestahujte, neměňte a nešiřte.
Koordinace
Zranitelnost nezveřejňujte před koordinovaným termínem (viz níže).
Dobrá víra
Jednejte v dobré víře · cílem je zlepšit bezpečnost a nikomu neuškodit.
Jeden e-mail stačí
Pište na office@ciad.cz s předmětem „Zranitelnost“. Do reportu uveďte: dotčený systém či URL, popis zranitelnosti, kroky k reprodukci a odhad dopadu. Strojově čitelný kontakt: security.txt.
Tři lhůty a safe harbor.
- 72 hodin
- Příjem reportu potvrdíme do 72 hodin.
- 14 dnů
- Vyhodnocení a plán opravy sdělíme do 14 dnů.
- 90 dnů
- Zveřejnění koordinujeme · standardní embargo je 90 dnů od nahlášení, podle závažnosti lze upravit dohodou.
- Safe harbor
- Safe harbor: proti výzkumníkům jednajícím v dobré víře a v souladu s těmito pravidly nepodnikneme právní kroky.
Síň slávy
Program je bez finančních odměn. Výzkumníkům, jejichž nález vedl k opravě, děkujeme veřejně zde · jménem, nebo přezdívkou, podle toho, co si vyberou.
Zatím prázdná. Buďte první.