Bezpieczeństwo w Omarchy

Czym jest luka?

Uznajemy błąd za lukę bezpieczeństwa, gdy można go wykorzystać do przekroczenia istotnej granicy zabezpieczeń: niezaufana strona lub strona o niższych uprawnieniach uzyskuje dostęp, uprawnienia lub kontrolę, których wcześniej nie miała.

Kod, który mógłby być odporniejszy, ale nie przekracza granicy zabezpieczeń, to ulepszenie, nie luka. Nadal możemy przyjąć poprawkę i podziękować zgłaszającemu w informacjach o wydaniu.

Obecność na stronie podziękowań za bezpieczeństwo zależy od tego, czy zgłoszenie wykrywa potwierdzoną lukę, a nie od jej powagi.

Co uwzględnić

Podaj wystarczające informacje, aby zrozumieć i odtworzyć problem:

• Dotknięty komponent i wersję Omarchy.
• Wyjaśnienie, co napastnik może zrobić przed wykorzystaniem luki i po nim.
• Kroki odtworzenia problemu i ewentualny dowód koncepcji.
• Preferowane dane kontaktowe do dalszej rozmowy.

Odpowiedzialne ujawnianie

Działaj w dobrej wierze podczas badania i zgłaszania luk:

• Testuj tylko własne systemy i konta lub takie, na których testy masz wyraźną zgodę.
• Unikaj naruszania prywatności, zakłóceń, niszczenia danych i pogarszania jakości usług.
• Nie wykorzystuj luki bardziej, niż potrzeba do jej zademonstrowania.
• Daj nam rozsądną możliwość zbadania i naprawienia problemu przed publikacją szczegółów.

Przeanalizujemy zgłoszenie i w miarę możliwości będziemy informować o postępach prac nad rozwiązaniem.

Podziękowania

Badacze, którzy prywatnie zgłoszą potwierdzoną lukę i dadzą nam szansę wydać poprawkę, otrzymują podziękowanie na stronie podziękowań za bezpieczeństwo. Przyjęte ulepszenia, które nie przekraczają granicy zabezpieczeń, mogą zostać wymienione w informacjach o wydaniu.

Podziękowania zawierają link do profilu X zgłaszającego i jego awatar. Przy duplikatach tylko pierwsze zgłoszenie uprawnia do wyróżnienia.

Zwykłe błędy i pomoc

W sprawach innych niż luki bezpieczeństwa korzystaj z systemu zgłoszeń Omarchy.