Bug-Bounty-Programm
Bankera stellt die Sicherheit der Gelder seiner Kunden immer an erste Stelle: Unser Cybersicherheitsteam arbeitet unermüdlich daran, mögliche Schwachstellen in unseren Systemen zu erkennen. Es besteht jedoch immer eine minimale Möglichkeit, dass einige Fehler weiterhin bestehen bleiben. Aus diesem Grund haben wir uns entschieden, ein Bug-Bounty-Programm zu starten, das es unserer Community ermöglicht, Hand in Hand mit Bankera zu arbeiten und dazu beizutragen, dass unsere Dienste sicher und von hoher Qualität sind.
Prämien
Prämien werden je nach Schweregrad der gemeldeten Schwachstelle verteilt. Bankera hat keine maximale Belohnung für die gemeldeten Fehler festgelegt – wenn Sie ein kritisches Problem auf unserer Plattform finden, wird die Prämie entsprechend erhöht. Um einen Überblick zu erhalten, finden Sie in der folgenden Tabelle die Richtlinien für die Verteilung. Die Festlegung der endgültigen Prämie bleibt allein in unserem Ermessen.
Die Prämien werden auf Grundlage folgender Kriterien vergeben:
Qualität der Beschreibung
Für eindeutige und ausführliche Bug-Bounty-Berichte können größere Belohnungen vergeben werden.Nachweis der Qualität des Konzepts
Größere Prämien können vergeben werden, wenn der Fehlerbericht Skripte, Testcodes sowie detaillierte Anweisungen enthält.Qualität korrigieren, falls enthalten
Größere Belohnungen können vergeben werden, wenn der Fehlerbericht Vorschläge zur Behebung des Problems enthält.
Fehler und Belohnung
Kritisch
$4,000 - $15,000
Hoch
$1,000 - $4,000
Mittel
$200 - $1,000
Niedrig
bis zu $200
Nur unbekannte und zuvor nicht gemeldete Sicherheitslücken werden für Prämien berücksichtigt.
Jeder Fehler wird nur mit einer Prämie belohnt. Wenn mehrere Meldungen für dieselbe Schwachstelle eingereicht werden, belohnen wir nur den ersten Melder.
Um eine Prämie zu erhalten, darf es kein rechtliches Hindernis dafür geben (z.B. dürfen Sie nicht an diesem Programm teilnehmen, wenn Sie Einwohner oder Einzelperson in einem Land sind, das internationalen Sanktionen unterliegt, einschließlich, aber nicht beschränkt auf EG, FATF, US, UN.)
In jedem Fall liegt es im Ermessen von Bankera, eine gemeldete Schwachstelle als unbedeutend einzustufen, einschließlich ihrer Berechtigung für die Belohnung. Durch das Einreichen eines Fehlers erklären Sie sich damit einverstanden, die oben genannten Regeln zu befolgen.
Einen Fehler melden
Fehlerberichte sollten mit einem detaillierten Schritt-für-Schritt-Konzeptnachweis vorgelegt werden, der uns helfen würde, das Problem zu reproduzieren und zu bewerten. Beispielsweise sollte ein Bericht, der einen webbezogenen Fehler erklärt, mindestens Folgendes enthalten:
- HTTP-Anfragen und -Antworten mit den betroffenen Parametern
- Videos oder Screenshots (falls erforderlich)
- Beschreibung des Browsers (Typ), des Betriebssystems und des Geräts
- Beschreibung der wahrgenommenen Auswirkung des Fehlers
- Vorschläge zur Lösung des Problems (falls möglich)
Teilen Sie keine Dateien und/oder Details im Zusammenhang mit dem gefundenen Fehler öffentlich. Dazu gehören auch Uploads auf öffentlich zugänglichen Plattformen (z. B. YouTube, Imgur, Pastebin usw.).
Verschlüsseln Sie den Bericht und alle erforderlichen Anhänge mit unserem PGP Public Key (unten verfügbar).
Senden Sie Ihre Fehlerberichte an [email protected].
Wenn unser Cybersicherheitsteam den Fehler nicht reproduzieren und verifizieren kann, wird die Prämie nicht ausgezahlt.
Zulässige Fehler
Schwachstellen, die in einem der Bankera-Dienste gefunden werden, kommen für das Bug-Bounty-Programm infrage, einschließlich der Bankera-Landing-Website und der Internet-Banking-Plattform. Im Allgemeinen wird das Melden von Fehlern, die möglicherweise zu finanziellen Verlusten oder Datenschutzverletzungen führen könnten, als ausreichend schwerwiegend angesehen, um eine Auszeichnung zu erhalten. Dazu können gehören:
- Website-übergreifende Anfragenfälschung (CSRF)
- Webseitenübergreifendes Skripting (XSS)
- Code-Injektion
- Remote-Code-Ausführung
- Privilegienausweitung
- Authentifizierungsumgehung
- Clickjacking
- Preisgabe sensibler Daten
Unzulässige Fehler
Im Allgemeinen werden die folgenden Probleme als nicht schwerwiegend genug angesehen und kommen daher für eine Belohnung nicht in Frage:
- Mangel an DNSSEC
- Host-Header-Injektionen ohne spezifische und nachweisbare Auswirkungen
- Flash-basierte Ausnutzungen
- CSRF in Formularen, die keine Authentifizierung erfordern, oder bei nicht sensiblen Aktionen
- Clickjacking auf Seiten ohne sensible Aktionen
- Schwachstellen, die einen Man-in-the-Middle-Angriff (MITM) oder physischen Zugriff auf den Webbrowser, das E-Mail-Konto oder das Smartphone eines Benutzers erfordern, sowie Probleme bei gerooteten/gehackten Geräten.
Verantwortungsvolle Offenlegung
Die verantwortungsvolle Offenlegung umfasst, ist aber nicht beschränkt auf:
Sie geben uns eine angemessene Zeit, um das Problem zu beheben, bevor Sie es an anderer Stelle veröffentlichen.
Nichtverletzung der Privatsphäre anderer Benutzer, Vernichtung von Daten oder Unterbrechung unserer Dienste usw. (In gutem Glauben handeln).
Betrügen Sie Bankera-Benutzer nicht (interagieren Sie nicht mit einem individuellen Konto, was das Ändern oder Zugreifen auf Kontodaten beinhaltet) oder Bankera selbst im Zuge der Entdeckung.
Für Exploits, die einen Kontozugriff benötigen, müssen Sie Ihr eigenes Konto verwenden.
Sollten Sie versehentlich auf private Daten zugreifen, bitten wir Sie, alle damit verbundenen Informationen, einschließlich, aber nicht beschränkt auf Zugangscodes, private Daten usw., zu löschen, nachdem Sie uns benachrichtigt haben.
Wenn Sie im Falle eines Fehlers Gelder von Bankera abrufen und/oder verschieben konnten, verpflichten Sie sich, den gesamten Betrag an Bankera zurückzusenden.
* Um eine verantwortungsvolle Offenlegung zu fördern, werden wir keine rechtlichen Schritte gegen die Forscher einleiten, die auf ein Problem hinweisen, sofern sie ihr Bestes tun, um die oben genannten Leitlinien zu befolgen.
