Chính sách bảo mật Tuturuuu cho công bố có trách nhiệm
Cách báo cáo lỗ hổng an toàn, phạm vi áp dụng và cách chúng tôi phối hợp sửa lỗi cũng như ghi nhận công khai.
Kênh báo cáo
Gửi báo cáo lỗ hổng riêng tư
Hãy dùng một kênh riêng tư cho báo cáo ban đầu để chúng tôi có thể phân loại nhanh và bảo vệ người dùng khi vấn đề chưa được xử lý.
Luồng công bố có trách nhiệm
Công bố có trách nhiệm hiệu quả nhất khi báo cáo được giữ riêng tư, quá trình tái hiện an toàn và phạm vi đã xác minh được viết chính xác.
Báo cáo riêng tư
Email security@tuturuuu.com với đủ chi tiết để tái hiện vấn đề mà không công bố trước.
Kiểm thử an toàn
Giữ phạm vi kiểm thử hẹp, tránh dữ liệu khách hàng và dừng lại khi có bằng chứng tác động rõ ràng.
Ghi nhận công việc đã xác minh
Khi vấn đề đã được xử lý và nhà nghiên cứu muốn được ghi nhận, chúng tôi có thể công bố ghi nhận đã xác minh trong Bảng vinh danh.
Phạm vi và ranh giới
Tập trung vào lỗ hổng ảnh hưởng đến sản phẩm do Tuturuuu quản lý, dữ liệu người dùng, xác thực, phân quyền hoặc tính toàn vẹn của dịch vụ production.
Trong phạm vi
- Sản phẩm web, route ứng dụng công khai, API và tính năng workspace của Tuturuuu.
- Xác thực, phân quyền, quản lý phiên và kiểm soát truy cập giữa các workspace.
- Vấn đề làm lộ, chỉnh sửa hoặc phá huỷ dữ liệu người dùng, workspace, thanh toán hoặc nội dung riêng tư.
- Tên miền và tích hợp công khai do Tuturuuu kiểm soát khi có thể chứng minh tác động người dùng một cách an toàn.
Ngoài phạm vi
- Kỹ thuật xã hội, phishing, quấy rối hoặc cố gắng nhắm vào nhân viên hay người dùng Tuturuuu.
- DoS, kiểm thử tải, spam, quét tự động quy mô lớn hoặc làm cạn tài nguyên.
- Tấn công vật lý, chiếm thiết bị nhân viên hoặc vấn đề cần thông tin đăng nhập bị đánh cắp.
- Hành vi gốc của nhà cung cấp bên thứ ba khi chưa chứng minh được tác động tới sản phẩm Tuturuuu.
Quy tắc phối hợp
Vui lòng dùng bằng chứng nhỏ nhất cần thiết để thể hiện tác động và tránh hành động có thể gây hại cho khách hàng, workspace, dữ liệu hoặc độ sẵn sàng của dịch vụ.
Kiểm thử an toàn
- Báo cáo riêng tư tới security@tuturuuu.com trước khi công bố công khai.
- Dùng kiểm thử tối thiểu, không phá hoại và dừng lại khi tác động đã được chứng minh.
- Không thiết lập quyền truy cập lâu dài, backdoor, mã độc hoặc cơ chế duy trì truy cập.
- Không truy cập, chỉnh sửa, xoá hoặc trích xuất dữ liệu không thuộc về bạn.
- Không chạy kiểm thử DoS, spam, làm cạn tài nguyên hoặc ảnh hưởng đến độ sẵn sàng.
Nên gửi kèm
- Tóm tắt ngắn về lỗ hổng và bề mặt Tuturuuu bị ảnh hưởng.
- Các bước tái hiện rõ ràng, ảnh chụp màn hình, nhật ký request hoặc proof of concept tối thiểu.
- Tác động bảo mật thực tế và người dùng, workspace hoặc tài sản bị ảnh hưởng.
- Cách liên hệ ưu tiên và tên ghi nhận công khai, nếu bạn muốn được ghi nhận.
Điều xảy ra sau khi bạn báo cáo
Chúng tôi ưu tiên tác động đã xác nhận, trao đổi bước tiếp theo và giữ ghi nhận công khai khớp với phạm vi đã xác minh.
Xác nhận
Chúng tôi xác nhận báo cáo mới trong vòng 24 giờ khi có đủ thông tin liên hệ.
Phân loại
Chúng tôi tái hiện hoặc kiểm chứng hành vi, phân loại tác động và phối hợp khắc phục.
Ghi nhận
Nhà nghiên cứu đã xác minh có thể được nêu trên Bảng vinh danh bằng tên hoặc handle họ chọn.
Sẵn sàng báo cáo?
Hãy gửi báo cáo riêng tư trước. Chúng tôi sẽ xác nhận, kiểm chứng tác động, phối hợp sửa lỗi và trao đổi về ghi nhận công khai khi vấn đề đã được xử lý.
