Bezpieczeństwo w Omarchy

Czym jest luka?

Uznajemy błąd za lukę bezpieczeństwa, gdy można go wykorzystać do przekroczenia istotnej granicy bezpieczeństwa: niezaufana strona lub strona o niższych uprawnieniach uzyskuje dostęp, uprawnienia lub kontrolę, których wcześniej nie miała.

Kod, który mógłby być odporniejszy, ale nie przekracza granicy bezpieczeństwa, to ulepszenie, nie luka. Nadal możemy przyjąć poprawkę i podziękować zgłaszającemu w release notes.

Obecność na stronie podziękowań dla badaczy bezpieczeństwa zależy od tego, czy zgłoszenie wykrywa potwierdzoną lukę, a nie od jej powagi.

Co uwzględnić

Podaj wystarczające informacje, aby zrozumieć i odtworzyć problem:

• Dotknięty komponent i wersję Omarchy.
• Wyjaśnienie, co napastnik może zrobić przed wykorzystaniem luki i po nim.
• Kroki odtworzenia problemu i ewentualny proof of concept.
• Preferowane dane kontaktowe do dalszej rozmowy.

Odpowiedzialne ujawnianie

Działaj w dobrej wierze podczas badania i zgłaszania luk:

• Testuj tylko własne systemy i konta lub takie, na których testy masz wyraźną zgodę.
• Unikaj naruszania prywatności, zakłóceń, niszczenia danych i pogarszania jakości usług.
• Nie wykorzystuj luki bardziej, niż potrzeba do jej zademonstrowania.
• Daj nam rozsądną możliwość zbadania i naprawienia problemu przed publikacją szczegółów.

Przeanalizujemy zgłoszenie i w miarę możliwości będziemy informować o postępach prac nad rozwiązaniem.

Podziękowania

Badacze, którzy prywatnie zgłoszą potwierdzoną lukę i dadzą nam szansę wydać poprawkę, otrzymują podziękowanie na stronie podziękowań dla badaczy bezpieczeństwa. Przyjęte ulepszenia, które nie przekraczają granicy bezpieczeństwa, mogą zostać wymienione w release notes.

Podziękowania zawierają link do profilu X zgłaszającego i jego awatar. Jeśli zgłoszenia się powtarzają, wyróżniamy autora pierwszego z nich.

Zwykłe błędy i pomoc

W sprawach innych niż luki bezpieczeństwa korzystaj z systemu zgłoszeń Omarchy.