Mục đích của Chương trình Bug Bounty
Chương trình Bug Bounty cung cấp cho các nhà nghiên cứu bảo mật một kênh có cấu trúc để báo cáo lỗ hổng một cách có trách nhiệm.
Một chương trình được thiết kế tốt có thể giúp nền tảng phát hiện các điểm yếu bảo mật trước khi chúng bị các đối tượng xấu khai thác.
Công bố có trách nhiệm
Các nhà nghiên cứu nên báo cáo lỗ hổng theo hình thức riêng tư thông qua kênh báo cáo bảo mật chính thức và cung cấp đủ thông tin để đội ngũ bảo mật có thể tái hiện, phân tích và đánh giá vấn đề.
Việc công bố công khai phải tuân theo các quy định hiện hành của chương trình và lịch trình công bố đã được thống nhất.
Báo cáo nên bao gồm những nội dung gì?
Một báo cáo lỗ hổng hữu ích thường nên bao gồm mô tả rõ ràng về vấn đề, thành phần bị ảnh hưởng, các bước tái hiện, mức độ ảnh hưởng đến bảo mật, bằng chứng Proof of Concept (PoC) khi phù hợp và các điều kiện cần thiết để tái hiện vấn đề.
Các nhà nghiên cứu nên tránh thu thập, truy cập hoặc tiết lộ dữ liệu người dùng không cần thiết cho việc xác minh lỗ hổng.
Các phát hiện có thể đủ điều kiện
Tùy thuộc vào phạm vi chính thức của chương trình, các lỗ hổng có thể đủ điều kiện bao gồm những vấn đề ảnh hưởng đến xác thực, phân quyền, lộ dữ liệu nhạy cảm, tính toàn vẹn của giao dịch, bảo mật API hoặc các chức năng quan trọng khác liên quan đến bảo mật.
Phạm vi chính xác phải được xác định theo chính sách Bug Bounty hiện hành do 4M công bố chính thức.
Các vấn đề ngoài phạm vi
Các chương trình Bug Bounty thường có thể loại trừ một số loại vấn đề như phiên bản không còn được hỗ trợ, kỹ thuật xã hội, thử nghiệm từ chối dịch vụ (DoS) có thể làm gián đoạn người dùng hoặc các phát hiện không có tác động bảo mật đáng kể.
Tuy nhiên, các nhà nghiên cứu nên tuân theo chính xác các mục loại trừ do 4M công bố thay vì chỉ dựa trên các giả định hoặc thông lệ chung của ngành.
Quy tắc ứng xử của nhà nghiên cứu
Việc kiểm thử bảo mật phải được thực hiện trong phạm vi có kiểm soát và không được cố ý làm hỏng hệ thống, truy cập dữ liệu người dùng không liên quan, làm gián đoạn dịch vụ hoặc thao túng tài sản thực của người dùng.
Nếu hoạt động kiểm thử có khả năng ảnh hưởng đến người dùng trong môi trường production, nhà nghiên cứu nên dừng lại và yêu cầu hướng dẫn thông qua kênh công bố lỗ hổng chính thức.
Phần thưởng và Safe Harbor
Mức thưởng, điều kiện đủ tiêu chuẩn, điều khoản Safe Harbor và thời hạn công bố chỉ nên được công bố khi đã được 4M xác nhận chính thức.
Không nên suy luận các điều kiện của 4M dựa trên chương trình Bug Bounty của các sàn giao dịch hoặc nền tảng khác.
Thông báo quan trọng
Trang này mô tả cấu trúc và các nguyên tắc của việc báo cáo lỗ hổng bảo mật một cách có trách nhiệm.
Trừ khi 4M công bố rõ ràng trong một thông báo bảo mật chính thức, trang này không khẳng định hoặc ngụ ý rằng hiện đang có hiệu lực một chương trình Bug Bounty cụ thể của 4M, cơ chế phần thưởng, phạm vi áp dụng hoặc cam kết Safe Harbor.