Chương trình săn lỗi nhận thưởng LiveAgent

Chương trình thông báo lỗ hổng

LiveAgent nhắm đến việc giữ an toàn cho dịch vụ của nó cho mọi người, và việc bảo mật là điều tối quan trọng. Chương trình thông bảo lỗ hổng của chúng tôi nhằm để giảm thiểu tác động của các lỗi bảo mật lên công cụ của chúng tôi hoặc người dùng chúng. Chương trình thông báo lỗ hổng của LiveAgent áp dụng cho các phần mềm được viết một phần hoặc chủ yếu bởi Quality Unit.

Nếu bạn là một nhà nghiên cứu bảo mật và đã phát hiện một lỗ hổng bảo mật trong Dịch vụ, chúng tôi rất trân trọng sự giúp đỡ của bạn trong việc thông báo nó riêng cho chung tôi và cho chúng tôi một cơ hội sửa chữa nó trước khi công bố chi tiết kỹ thuật.

LiveAgent sẽ làm việc với các nhà nghiên cứu bảo mật khi các lỗ hổng được thông báo cho chúng tôi như miêu tả tại đây. Chúng tôi sẽ xác nhận, phản hồi, và sửa chữa các lỗ hổng nhằm hỗ trợ cam kết của chúng tôi về vấn đề bảo mật và quyền riêng tư. Chúng tôi sẽ không thực hiện các hành động pháp lý chống lại, đình chỉ, hoặc hủy quyền truy cập Dịch vụ của những người phát hiện và báo cáo các lỗ hổng bảo mật một cách có trách nhiệm. LiveAgent bảo lưu mọi quyền pháp lý trong mọi sự kiện bất tuân thủ.

Lập báo cáo

Chia sẻ thông tin chi tiết về các lỗ hổng với Đội ngũ Phát triển LiveAgent tại support@liveagent.com. Vui lòng không tiết lộ công khai những thông tin này ra ngoài quy trình này khi chưa được cho phép. Khi báo cáo các lỗ hổng khả thi, vui lòng ghi càng nhiều thông tin càng tốt. Nếu bạn muốn gửi nhiều báo cáo một lúc, vui lòng chỉ gửi một báo cáo (báo cáo quan trọng nhất nếu có thể) và đợi phản hồi.

Phần thưởng

Chúng tôi rất sẵn lòng đưa ra một khoản tiền thưởng cho thông tin về lỗ hổng nào có thể giúp chúng tôi bảo vệ khách hàng của mình, như môt lời cảm ơn đến những nhà nghiên cứu bảo mật đã chọn tham gia chương trình săn lỗi nhận thưởng của chúng tôi. Phần thưởng thông thường là $50 cho mỗi lỗ hổng được gửi và xác nhận bởi đội ngũ phát triển của chúng tôi.

Chúng tôi sẽ chỉ trả thưởng cho người báo cáo lỗ hổng đầu tiên. Các báo cáo trùng lặp sẽ không được thưởng.

Phạm vi

Bạn chỉ có thể kiểm tra một tài khoản LiveAgent mà bạn là Chủ tài khoản hoặc một Nhân viên được ủy quyền bởi Chủ tài khoản để thực hiện các việc kiểm tra đó. Ví dụ:

*tenmiencuaban*.ladesk.com

Chúng tôi sẽ trả thưởng cho bạn với các kiểu lỗ hổng sau:

Thực thi mã từ xa (RCE)
SQL Injection
Broken Authentication
Broken Session Management
Access Control Bypass
Cross-Site Scripting (XSS)
Cross-Site Request Forgery (CSRF)
Open URL Redirection
Directory Traversal

Báo cáo khi kẻ tấn công chỉ có thể đe dọa chính tài khoản của họ với vai trò Quản trị viên sẽ không được nhận thưởng. XSS gây ra bởi một Quản trị viên sẽ không được nhận thưởng.

Để đủ điều kiện, lỗ hổng phải tồn tại trong bản phát hành công khai mới nhất (bao gồm bản beta công khai được phát hành chính thức). Chỉ có các lỗ hổng bảo mật mới đủ điều kiện. Chúng tôi sẽ rất thích nếu mọi người báo cáo những lỗi khác qua các kênh phù hợp, nhưng vì mục đích của chương trình này là để sửa lỗ hổng bảo mật, chỉ có các lỗi dẫn đến lỗ hổng bảo mật là đủ điều kiện nhận thưởng. Các lỗi khác sẽ được chấp nhận theo quyết định của chúng tôi.

Hướng dẫn

Vui lòng bám sát hướng dẫn bên dưới để đủ điều kiện nhận thưởng trong chương trình thông báo lỗ hồng này:

Không chỉnh sửa hoặc xóa vĩnh viễn hosted data của LiveAgent
Không cố tình truy cập dữ liệu không công khai của LiveAgent nhiêu hơn cần thiết để trình bày lỗ hổng.
Không DDoS hoặc gián đoạn, hoặc làm suy giảm các dịch vụ nội bộ hoặc bên ngoài của chúng tôi.
Không chia sẻ thông tin bí mật từ LiveAgent, bao gồm nhưng không giới hạn từ thông tin thanh toán của thành viên hoặc nhà tài trợ, với bất kỳ bên thứ ba nào.
Tấn công phi kỹ thuật không thuộc phạm vi báo cáo. Đừng gửi các email lừa đảo đến, hoặc sử dụng các mánh khóe tấn công phi kỹ thuật khác lên, bất kỳ ai, bao gồm nhân viên, thành viên, nhà cung cấp, hoặc đối tác của LiveAgent.

Thêm nữa, vui lòng cho chúng tôi ít nhất 90 ngày để sửa các lỗ hổng trước khi báo cáo công chúng hoặc viết blog về nó. Đội ngũ của chúng tôi tin rằng các nhà nghiên cứu bảo mật có quyền báo cáo nghiên cứu của họ và việc tiết lộ rất có ích, và hiểu rằng câu hỏi về thời điểm và cách để giữ lại các thông tin để giảm thiểu rủi ro việc những thông tin về lỗ hổng có thể bị sử dụng sai cách là một câu hỏi rất chủ quan. Nếu bạn tin rằng việc công bố sớm là cần thiết, vui lòng cho chúng tôi biết để chúng ta có thể bắt đầu trò chuyện.

Bản cập nhật

Chúng tôi thông báo công khai về những vấn đề bảo mật đã được sửa đổi thông qua bản cập nhật của chúng tôi. Các vấn đề liên quan đến bảo mật được đánh dấu bằng thẻ [Bảo mật].

Bài liên quan