Chương Trình Công Khai Lỗ Hổng
LiveAgent cam kết giữ dịch vụ của mình an toàn cho mọi người, và bảo mật dữ liệu là vô cùng quan trọng. Chương Trình Công Khai Lỗ Hổng của chúng tôi nhằm giảm thiểu tác động của bất kỳ lỗ hổng bảo mật nào đối với các công cụ của chúng tôi hoặc người dùng của chúng. Chương Trình Công Khai Lỗ Hổng của LiveAgent bao gồm phần mềm được viết một phần hoặc chủ yếu bởi Quality Unit.
Nếu bạn là một nhà nghiên cứu bảo mật và đã phát hiện ra một lỗ hổng bảo mật trong Dịch vụ, chúng tôi đánh giá cao sự giúp đỡ của bạn trong việc công khai nó cho chúng tôi một cách riêng tư và cho chúng tôi cơ hội sửa chữa nó trước khi công bố các chi tiết kỹ thuật.
LiveAgent sẽ tương tác với các nhà nghiên cứu bảo mật khi các lỗ hổng được báo cáo cho chúng tôi như được mô tả ở đây. Chúng tôi sẽ xác thực, phản hồi và sửa chữa các lỗ hổng để hỗ trợ cam kết của chúng tôi về bảo mật và quyền riêng tư. Chúng tôi sẽ không thực hiện hành động pháp lý, tạm ngừng hoặc chấm dứt quyền truy cập vào Dịch vụ của những người phát hiện và báo cáo các lỗ hổng bảo mật một cách có trách nhiệm. LiveAgent bảo lưu tất cả các quyền pháp lý của mình trong trường hợp không tuân thủ.
Báo Cáo
Chia sẻ chi tiết về bất kỳ lỗ hổng bảo mật nào được nghi ngờ với Nhóm Phát Triển LiveAgent tại support@liveagent.com . Vui lòng không công khai những chi tiết này bên ngoài quy trình này mà không có sự cho phép rõ ràng.
Khi báo cáo bất kỳ lỗ hổng bảo mật nào được nghi ngờ, vui lòng cung cấp càng nhiều thông tin càng tốt. Nếu bạn muốn gửi nhiều báo cáo cùng một lúc, vui lòng chỉ gửi một báo cáo (báo cáo quan trọng nhất nếu có thể) và chờ phản hồi.
Bồi Thường
Chúng tôi rất vui được cung cấp một khoản tiền thưởng cho thông tin lỗ hổng giúp chúng tôi bảo vệ khách hàng của mình như một lời cảm ơn đến các nhà nghiên cứu bảo mật chọn tham gia chương trình bug bounty của chúng tôi. Phần thưởng bounty thông thường là $100 cho mỗi lỗ hổng được gửi và xác minh bởi nhóm phát triển của chúng tôi.
Chúng tôi sẽ chỉ thưởng cho người báo cáo đầu tiên của một lỗ hổng. Các báo cáo trùng lặp sẽ không được thưởng.
Phạm Vi
Bạn chỉ có thể kiểm tra một Tài khoản LiveAgent mà bạn là Chủ sở hữu Tài khoản hoặc một Đại lý được Chủ sở hữu Tài khoản ủy quyền để tiến hành kiểm tra như vậy. Ví dụ:
- yourdomain.ladesk.com
Các Loại Lỗ Hổng Được Thưởng
Chúng tôi sẽ thưởng bạn cho các loại lỗ hổng sau:
- Remote Command Execution (RCE)
- SQL Injection
- Broken Authentication
- Broken Session Management
- Access Control Bypass
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Open URL Redirection
- Directory Traversal
Lưu ý: Các báo cáo khi kẻ tấn công chỉ có thể đe dọa tài khoản của riêng mình với vai trò Admin sẽ không được thưởng bounty. XSS do Admin gây ra sẽ không được thưởng bounty.
Để đủ điều kiện, lỗ hổng phải tồn tại trong bản phát hành công khai mới nhất (bao gồm các bản beta công khai được phát hành chính thức) của phần mềm. Chỉ các lỗ hổng bảo mật mới đủ điều kiện. Chúng tôi rất muốn mọi người báo cáo các lỗi khác thông qua các kênh thích hợp, nhưng vì mục đích của chương trình này là sửa chữa các lỗ hổng bảo mật, chỉ những lỗi dẫn đến các lỗ hổng bảo mật mới đủ điều kiện nhận phần thưởng. Các lỗi khác sẽ được chấp nhận theo quyết định của chúng tôi.
Hướng Dẫn
Vui lòng tuân thủ các hướng dẫn sau để đủ điều kiện nhận phần thưởng theo chương trình công khai này:
- Không vĩnh viễn sửa đổi hoặc xóa dữ liệu được lưu trữ trên LiveAgent.
- Không cố ý truy cập dữ liệu không công khai của LiveAgent nhiều hơn mức cần thiết để chứng minh lỗ hổng.
- Không DDoS hoặc cách khác làm gián đoạn, ngắt hoặc giảm chất lượng các dịch vụ nội bộ hoặc bên ngoài của chúng tôi.
- Không chia sẻ thông tin bảo mật thu được từ LiveAgent, bao gồm nhưng không giới hạn thông tin thanh toán của thành viên hoặc nhà tài trợ, với bất kỳ bên thứ ba nào.
- Kỹ thuật lừa xã hội nằm ngoài phạm vi. Không gửi email lừa đảo cho hoặc sử dụng các kỹ thuật lừa xã hội khác chống lại bất kỳ ai, bao gồm nhân viên QualityUnit, thành viên, nhà cung cấp hoặc đối tác.
Ngoài ra, vui lòng cho chúng tôi ít nhất 90 ngày để sửa chữa lỗ hổng trước khi thảo luận công khai hoặc viết blog về nó. Nhóm của chúng tôi tin rằng các nhà nghiên cứu bảo mật có quyền báo cáo nghiên cứu của họ và rằng công khai là rất có lợi, và hiểu rằng đó là một câu hỏi rất chủ quan về thời điểm và cách giữ lại chi tiết để giảm thiểu rủi ro thông tin lỗ hổng sẽ bị lạm dụng. Nếu bạn tin rằng công khai sớm hơn là cần thiết, vui lòng cho chúng tôi biết để chúng tôi có thể bắt đầu một cuộc trò chuyện.
Nhật Ký Thay Đổi
Chúng tôi công khai thông báo về tất cả các vấn đề bảo mật đã được sửa chữa thông qua nhật ký thay đổi của chúng tôi. Các vấn đề liên quan đến bảo mật được đánh dấu bằng thẻ [Security].
