Retningslinjer for å melde inn sårbarheter

Introduksjon

Unloc ønsker tilbakemeldinger fra sikkerhetsforskere og allmennheten for å forbedre vår sikkerhet. Hvis du mener å ha oppdaget en sårbarhet, personvernproblem, eksponerte data eller andre sikkerhetsrelaterte problemer i noen av våre systemer, vil vi gjerne høre fra deg. Disse retningslinjene beskriver hvordan du kan rapportere sårbarheter til oss, hva vi forventer, og hva du kan forvente fra oss.

‍

Omfang

Disse retningslinjene gjelder for følgende systemer og tjenester eid eller operert av Unloc: help.unloc.app

• Unloc-appen
• unloc.app
• api.unloc.app
• my.unloc.app

‍

Utenfor omfang

Følgende er utenfor disse retningslinjenes omfang:

• Systemer eller utstyr som ikke eies av Unloc eller er en del av denne policyen.
• Sårbarheter oppdaget i systemer utenfor omfanget bør rapporteres til den aktuelle leverandøren eller myndigheten.

‍

Våre forpliktelser

Når du samarbeider med oss i henhold til disse retningslinjene, kan du forvente at vi:

• Responderer raskt på din rapport og samarbeider for å forstå og validere den.
• Holder deg informert om fremdriften i behandlingen av sårbarheten.
• Arbeider for å rette opp oppdagede sårbarheter innen rimelig tid, gitt våre operasjonelle begrensninger.
• Gir deg trygghet for at din sikkerhetsforskning, i tråd med disse retningslinjene, ikke vil føre til rettslige skritt fra vår side.

‍

Våre forventninger

Ved å delta i vårt program for innrapportering av sårbarheter i god tro, ber vi deg:

• Følge reglene, inkludert disse retningslinjene og eventuelle andre relevante avtaler.
• Rapportere eventuelle oppdagede sårbarheter umiddelbart.
• Unngå å krenke andres personvern, forstyrre våre systemer, ødelegge data eller skade brukeropplevelsen.
• Bruke kun offisielle kanaler for å diskutere sårbarhetsinformasjon med oss.
• Gi oss en rimelig tidsramme for å løse problemet før du offentliggjør det.
• Utføre testing kun på systemer innenfor omfanget, og respektere systemer og aktiviteter utenfor omfanget.
• Hvis en sårbarhet gir utilsiktet tilgang til data: Begrens datatilgangen til det minimale som kreves for å demonstrere et bevis på konsept, og stopp testingen og send inn en rapport umiddelbart hvis du støter på brukerdata under testingen, som personopplysninger, helseinformasjon, kredittkortdata eller proprietær informasjon.
• Interagere kun med testkontoer du eier eller har eksplisitt tillatelse til å bruke.
• Unngå testing som resulterer i tjenestenekt eller degradering av våre produksjonstjenester.
• Ikke engasjere deg i utpressing.

‍

Problemer vi er opptatt av

• XSS som gir tilgang til sensitiv data (f.eks. sesjonsinformasjon).
• XSRF som gir tilgang til sensitiv data.
• Forretningslogikkfeil som gir tilgang til sensitiv data eller funksjonalitet. help.unloc.app

‍

Problemer vi er mindre opptatt av

• Manglende X-Frame-Options-header på sider uten funksjonalitet som endrer tilstand, som unloc.app.
• Problemer som er usannsynlige å kunne utnyttes og/eller som ikke har realistisk sikkerhetspåvirkning.
• API-nøkler funnet i vår app eller på nettsider som anses som publiserbare, som klientside-API-nøkler for tjenester som Google Maps.

‍

Offisielle kanaler

Vennligst rapporter sikkerhetsproblemer via e-post til security@unloc.app, og inkluder all relevant informasjon. Jo flere detaljer du gir, desto lettere er det for oss å vurdere og løse problemet.

‍

Trygg havn

Når du utfører sikkerhetsforskning i samsvar med disse retningslinjene, anser vi denne forskningen som:

• Autorisert i henhold til gjeldende lover mot hacking, og vi vil ikke iverksette eller støtte rettslige skritt mot deg for utilsiktede, godtroende brudd på disse retningslinjene.
• Autorisert i henhold til relevante lover mot omgåelse, og vi vil ikke fremme krav mot deg for omgåelse av teknologiske kontrollmekanismer.
• Unntatt fra begrensninger i våre bruksvilkår og/eller akseptabel bruk-policy som kan hindre sikkerhetsforskning, og vi fraskriver oss disse begrensningene i en begrenset periode.
• Lovlig, nyttig for internettets generelle sikkerhet, og utført i god tro.

Du forventes, som alltid, å overholde alle gjeldende lover. Hvis en tredjepart iverksetter rettslige skritt mot deg og du har fulgt disse retningslinjene, vil vi gjøre vårt beste for å informere om at dine handlinger var i samsvar med disse retningslinjene.

For mer informasjon, vennligst besøk Unlocs offisielle retningslinjer for innrapportering av sårbarheter.

‍