Цель программы Bug Bounty
Программа Bug Bounty предоставляет исследователям в области безопасности официальный и структурированный канал для ответственного сообщения об уязвимостях.
Хорошо организованная программа помогает платформе выявлять потенциальные слабые места в системе безопасности до того, как ими смогут воспользоваться злоумышленники.
Ответственное раскрытие
Исследователям следует сообщать об уязвимостях конфиденциально через официальный канал для сообщений о проблемах безопасности и предоставлять достаточно информации, чтобы команда безопасности могла воспроизвести, проанализировать и оценить проблему.
Публичное раскрытие информации об уязвимости должно осуществляться в соответствии с действующими правилами программы и согласованными сроками раскрытия.
Что должно содержаться в отчёте
Полезный отчёт об уязвимости обычно должен включать понятное описание проблемы, затронутый компонент, шаги для воспроизведения, описание влияния на безопасность, материалы Proof of Concept (PoC), если это уместно, а также условия, необходимые для воспроизведения проблемы.
Исследователям следует избегать сбора, доступа или раскрытия пользовательских данных, которые не требуются для подтверждения уязвимости.
Потенциально допустимые уязвимости
В зависимости от официального охвата программы, к допустимым находкам могут относиться уязвимости, затрагивающие аутентификацию, авторизацию, раскрытие конфиденциальных данных, целостность транзакций, безопасность API или другие критически важные функции безопасности.
Точный перечень допустимых уязвимостей должен определяться актуальной официальной политикой Bug Bounty 4M.
Проблемы, не входящие в программу
Программы Bug Bounty часто исключают такие случаи, как неподдерживаемые версии программного обеспечения, социальная инженерия, тестирование отказа в обслуживании (DoS), способное нарушить работу пользователей, или проблемы без существенного влияния на безопасность.
Однако исследователям следует руководствоваться конкретным перечнем исключений, опубликованным 4M, а не общими отраслевыми предположениями.
Правила поведения исследователей
Тестирование безопасности должно проводиться контролируемым образом и не должно намеренно повреждать системы, получать доступ к несвязанным пользовательским данным, нарушать работу сервисов или манипулировать реальными активами пользователей.
Если тестирование может повлиять на пользователей рабочей среды, исследователю следует немедленно прекратить такие действия и обратиться за дальнейшими инструкциями через официальный канал раскрытия уязвимостей.
Вознаграждения и Safe Harbor
Размеры вознаграждений, критерии участия, положения Safe Harbor и сроки раскрытия информации должны публиковаться только после официального подтверждения со стороны 4M.
Не следует делать выводы о правилах 4M на основании программ Bug Bounty других бирж или платформ.
Важное уведомление
Настоящая страница описывает основные принципы и структуру ответственного сообщения об уязвимостях.
Если 4M официально не опубликовала соответствующую информацию в рамках своих материалов по безопасности, данная страница не означает и не утверждает, что в настоящий момент действует конкретная программа Bug Bounty 4M, определённая система вознаграждений, установленный охват программы или обязательства Safe Harbor.