Program for offentliggørelse af sårbarheder
LiveAgent stræber efter at holde sin tjeneste sikker for alle, og datasikkerhed er af største betydning. Vores program for offentliggørelse af sårbarheder er beregnet til at minimere virkningen af eventuelle sikkerhedsfejl på vores værktøjer eller deres brugere. LiveAgent’s program for offentliggørelse af sårbarheder dækker software, der helt eller delvist er skrevet af Quality Unit.
Hvis du er sikkerhedsforsker og har opdaget en sikkerhedssårbarhed i tjenesten, værdsætter vi din hjælp til at offentliggøre den for os privat og give os mulighed for at rette den, før du offentliggør tekniske detaljer.
LiveAgent vil samarbejde med sikkerhedsforskere, når sårbarheder rapporteres til os som beskrevet her. Vi vil validere, reagere på og rette sårbarheder til støtte for vores forpligtelse til sikkerhed og privatlivsbeskyttelse. Vi vil ikke tage juridiske skridt mod, suspendere eller ophæve adgangen til tjenesten for dem, der opdager og rapporterer sikkerhedssårbarheder på ansvarlig måde. LiveAgent forbeholder sig alle sine juridiske rettigheder i tilfælde af manglende overholdelse.
Rapportering
Del detaljer om eventuelle mistænkte sårbarheder med LiveAgent Development Team på support@liveagent.com . Vær venlig ikke at offentliggøre disse detaljer uden for denne proces uden udtrykkelig tilladelse.
Når du rapporterer eventuelle mistænkte sårbarheder, skal du inkludere så mange oplysninger som muligt. Hvis du ønsker at indsende flere rapporter på én gang, skal du indsende kun én rapport (den vigtigste hvis muligt) og vente på et svar.
Kompensation
Vi er glade for at tilbyde en belønning for sårbarheder, der hjælper os med at beskytte vores kunder, som tak til sikkerhedsforskerne, der vælger at deltage i vores bug bounty-program. Den almindelige bounty-belønning er $100 pr. sårbarhed indsendt og verificeret af vores udviklingsteam.
Vi belønner kun den første rapportør af en sårbarhed. Duplikatrapporter bliver ikke belønnet.
Omfang
Du må kun teste mod en LiveAgent-konto, som du er kontoejeren for, eller en agent, der er autoriseret af kontoejeren til at udføre sådan test. For eksempel:
- yourdomæne.ladesk.com
Belønnet sårbarhedstyper
Vi belønner dig for følgende typer sårbarheder:
- Remote Command Execution (RCE)
- SQL Injection
- Broken Authentication
- Broken Session Management
- Access Control Bypass
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Open URL Redirection
- Directory Traversal
Bemærk: Rapporter om, når en angriber kun kan true sin egen konto med administratorrolle, bliver ikke belønnet med en bounty. XSS forårsaget af en administrator bliver ikke belønnet med en bounty.
For at kvalificere sig skal sårbarheden eksistere i den seneste offentlige udgivelse (inklusive officielt udgivne offentlige betaversioner) af softwaren. Kun sikkerhedssårbarheder kvalificerer sig. Vi ville elske det, hvis folk rapporterede andre fejl via de relevante kanaler, men da formålet med dette program er at rette sikkerhedssårbarheder, er det kun fejl, der fører til sikkerhedssårbarheder, der er berettiget til belønninger. Andre fejl accepteres efter vores skøn.
Retningslinjer
Følg venligst følgende retningslinjer for at være berettiget til belønninger under dette offentliggørelsesprogram:
- Modificer eller slet ikke permanent LiveAgent-hostede data.
- Få ikke adgang til ikke-offentlige LiveAgent-data mere end nødvendigt for at demonstrere sårbarheden.
- Udfør ikke DDoS eller på anden måde forstyrre, afbryde eller forværre vores interne eller eksterne tjenester.
- Del ikke fortrolige oplysninger opnået fra LiveAgent, herunder men ikke begrænset til medlems- eller donorbetalingsoplysninger, med tredjeparter.
- Social engineering er uden for omfang. Send ikke phishing-e-mails til eller brug andre social engineering-teknikker mod nogen, herunder QualityUnit-personale, medlemmer, leverandører eller partnere.
Derudover skal du give os mindst 90 dage til at rette sårbarheden, før du offentligt diskuterer eller blogger om den. Vores team mener, at sikkerhedsforskere har ret til at rapportere deres forskning, og at offentliggørelse er meget gavnlig, og forstår, at det er et meget subjektivt spørgsmål, hvornår og hvordan man skal holde detaljer tilbage for at mindske risikoen for, at sårbarheder bliver misbrugt. Hvis du mener, at tidligere offentliggørelse er nødvendig, skal du give os besked, så vi kan påbegynde en samtale.
Ændringslog
Vi informerer offentligt om alle rettede sikkerhedsproblemer gennem vores ændringslog . Problemer relateret til sikkerhed er markeret med tagget [Security].
