برنامج Bug Bounty (مكافأة اكتشاف الثغرات الأمنية)
دائمًا تضع Bankera أمن أموال عملائها في المقام الأول: ففريق الأمن السيبراني لدينا يعمل دائماً بلا كلل أو ملل لاكتشاف أي نقاط ضعف محتملة في أنظمتنا. ومع ذلك هناك دائمًا احتمال ضئيل بأن بعض الأخطاء قد تستمر. لذلك قررنا إطلاق برنامج مكافأة الأخطاء الذي سيسمح لمجتمعنا بالعمل مع Bankera والمساعدة في الحفاظ على خدماتنا آمنة وعالية الجودة.
المكافئات
يعتمد توزيع المكافآت على مستوى شدة الثغرة المبلغ عنها. Bankera لم تحدد حدًا أقصى للمكافآت للأخطاء المبلغ عنها - إذا وجدت مشكلة خطيرة على نظامنا الأساسي ، فسيتم زيادة المكافأة لذلك. على أية حال ولشرح أوسع ستجد قواعد توزيع المكافآت في الجدول أدناه. يبقى تحديد المكافأة النهائية وفقًا لتقديرنا فقط.
يتم توزيع المكافآت على أساس:
جودة الوصف
قد يتم تخصيص مكافآت أكبر لتقارير مكافآت الأخطاء الواضحة والشاملة.دليل على طبيعة الثغرة
قد يتم تخصيص مكافآت أكبر إذا تضمن تقرير الخطأ نصوصًا برمجية واختبار التعليمات البرمجية بالإضافة إلى إرشادات مفصلة.جودة الحل، إذا تم تضمينها
قد يتم تخصيص مكافآت أكبر إذا كان تقرير الخطأ يقدم اقتراحات لإصلاح المشكلة.
الثغرة الأمنية والمكافأة
خطير
$4,000 - $15,000
عالي
$1,000 - $4,000
وسط
$200 - $1,000
منخفض
حتى 200$
المكافأت صالحة فقط للثغرات الأمنية الغير المعروفة والتي لم يتم الإبلاغ عنها سابقًا.
نحن نقدم مكافأة واحدة فقط لكل خطأ. إذا تم تقديم عدة تقارير لنفس الثغرة الأمنية ، فسنكافئ المرسل الأول فقط.
للحصول على المكافأة ، يجب ألا يكون هناك عائق قانوني للقيام بذلك (على سبيل المثال لا يجوز لك المشاركة في هذا البرنامج إذا كنت مقيمًا أو فردًا مقيمًا داخل بلد يخضع لعقوبات دولية بما في ذلك على سبيل المثال لا الحصر عقوبات من EC و FATF و الولايات المتحدة ، الأمم المتحدة.)
بكل الأحول تحتفظ Bankera بحق تقدير الثغرة التي يتم الإبلاغ عنها على أنها ثغرة غير مهمة، و أهليتها للحصول على المكافأة. بإرسال الخلل ، فإنك توافق على اتباع القواعد المذكورة أعلاه.
كيف تبلغ عن ثغرة
يجب تقديم تقارير الأخطاء مع إثبات مفصل خطوة بخطوة للمفهوم الذي سيساعدنا في إعادة إنتاج المشكلة وتقييمها. على سبيل المثال ، يجب أن يحتوي التقرير الذي يشرح خطأً متعلقًا بالويب على الأقل على:
- طلبات HTTP واستجاباتها مع المتغيرات المتأثرة
- مقاطع الفيديو أو لقطات الشاشة (إذا لزم الأمر)
- وصف المتصفح (النوع) ونظام التشغيل والجهاز
- وصف التأثير المتوقع من الثغرة
- اقتراحات حول كيفية حل المشكلة (إن أمكن)
لا تشارك علنًا أي ملفا ت و / أو تفاصيل ذات صلة بالخطأ الذي تم العثور عليه . يتضمن ذلك النشر على منصات متاحة للعلن (مثل YouTube ، Imgur ، Pastebin ، إلخ).
قم بتشفير التقرير وأي مرفقات ضرورية باستخدام مفتاح PGP العام الخاص بنا (المتوفر أدناه).
أرسل تقارير الأخطاء إلى [email protected].
إذا كان فريق الأمن السيبراني لدينا غير قادر على إعادة إنتاج الخطأ والتحقق منه ، فلن يتم دفع المكافأة.
الثغرات المؤهلة
نقاط الضعف الموجودة في أي من خدمات Bankera تخضغ لبرنامج صيد الثغرات bug Bounty ، بما في ذلك موقع Bankera ومنصة صرافته على الإنترنت. بشكل عام يعتبر الإبلاغ عن الأخطاء التي قد تؤدي إلى خسارة مالية أو خرق للبيانات خطير بشكل كافي ليتم منحه مكافآت. وهذا قد يشمل:
- التزوير عبر الموقع(CSRF)Cross-Site Request Forgery (CSRF)
- حقن الكود Cross-Site Scripting (XSS)
- حقن الكود Code Injection
- البرمجة النصية عبر المواقع Remote Code Execution
- تجاوز الصلاحيات Privilege Escalation
- تجاوز المصادقة
- clickjacking هجوم واجهة المستخدم
- تسريب البيانات الحساسة
ثغرات غير مؤهلة
على العموم المشكلات التالية لا تعتبر خطيرة كفايةً ولهذا فهي غير مؤهلة للحصول على مكافآت:
- عدم وجود DNSSEC
- استضافة حقول رأس البرتكول لنقل النص التشعبي (Host header injections) بدون تأثير محدد يمكن إثباته
- خلل قائم على الـ Flash
- CSRF في النماذج التي لا تتطلب مصادقة أو على إجراءات غير حساسة
- Clickjacking على الصفحات دون أنشطة حساسة
- نقاط الضعف التي تتطلب Man-in-the-middle attack (MITM) ، أو الوصول إلى متصفح الويب الخاص بالمستخدم وحساب البريد الإلكتروني والهاتف الذكي والمشكلات الموجودة على الأجهزة التي تم كسر حمايتها (rooted/jailbroken devices).
الإفصاح المسؤول
يشمل الإفصاح المسؤول على سبيل المثال لا الحصر:
منحنا فترة زمنية معقولة لإصلاح المشكلة قبل نشرها في مكان آخر.
عدم انتهاك خصوصية المستخدمين الآخرين أو إتلاف أي بيانات أو تعطيل خدماتنا وما إلى ذلك (التصرف بحسن نية).
عدم الاحتيال على مستخدمي Bankera (لا تتفاعل مع حساب فردي وذلك يتضمن تعديل بيانات الحساب أو الوصول إليها) أو Bankera نفسها في عملية الاكتشاف.
بالنسبة إلى عمليات الاختراق التي تحتاج إلى وصول إلى حساب ، يجب عليك استخدام حسابك الخاص.
إذا قمت عن غير قصد بالوصول إلى بيانات خاصة، فإننا نطلب منك حذف جميع المعلومات ذات الصلة ، بما في ذلك على سبيل المثال لا الحصر رموز الوصول والبيانات الخاصة وما إلى ذلك ، بعد إبلاغنا.
إذا كنت قادرًا في حالة وجود خطأ على الوصول و / أو نقل الأموال من Bankera ، فإنك تلتزم بإعادة المبلغ بالكامل إلى Bankera.
* لتشجيع الإفصاح المسؤول ، لن نبدأ إجراءات قانونية ضد الباحثين الذين يشيرون إلى مشكلة بشرط أن يبذلوا قصارى جهدهم لاتباع الإرشادات المذكورة أعلاه.
