Odpowiedzialne ujawnianie luk w zabezpieczeniach
Coinomi ceni pracę wykonywaną przez badaczy bezpieczeństwa w celu poprawy bezpieczeństwa naszych produktów i usług. Jesteśmy zaangażowani we współpracę ze społecznością w celu weryfikacji, odtworzenia i reagowania na zgłoszone luki w zabezpieczeniach. Zachęcamy społeczność do uczestnictwa w naszym procesie odpowiedzialnego ujawniania luk w zabezpieczeniach.
Jeśli jesteś badaczem bezpieczeństwa i chcesz zgłosić lukę w zabezpieczeniach, wyślij e-mail na adres: [email protected] Do każdego zgłoszenia dołącz swoje imię i nazwisko, dane kontaktowe oraz nazwę firmy (jeśli dotyczy). Priorytet będą miały zgłoszenia zaszyfrowane — prosimy o dołączenie klucza publicznego PGP do zgłoszenia.
Wytyczne dotyczące odpowiedzialnego ujawniania luk w zabezpieczeniach
Będziemy badać uzasadnione zgłoszenia i dołożymy wszelkich starań, aby szybko poprawić każdą potwierdzoną lukę w zabezpieczeniach. Aby zachęcić do odpowiedzialnego zgłaszania, zobowiązujemy się, że nie podejmiemy przeciwko Tobie kroków prawnych ani nie zwrócimy się do organów ścigania o wszczęcie dochodzenia, jeśli będziesz przestrzegać następujących wytycznych dotyczących odpowiedzialnego ujawniania luk w zabezpieczeniach:
- Podaj szczegóły luki w zabezpieczeniach, w tym informacje potrzebne do odtworzenia i zweryfikowania luki oraz dowód koncepcji (POC).
- W dobrej wierze dołóż wszelkich starań, aby uniknąć naruszeń prywatności, zniszczenia danych oraz zakłóceń lub pogorszenia jakości naszych usług.
- Nie modyfikuj ani nie uzyskuj dostępu do danych, które nie należą do Ciebie.
- Daj nam rozsądny czas na poprawienie problemu, zanim upublicznisz jakiekolwiek informacje.
- Akceptujemy tylko zgłoszenia dotyczące usług świadczonych wyłącznie przez Coinomi, a nie przez osoby trzecie.
Dołożymy wszelkich starań, aby odpowiedzieć na Twoje zgłoszenie w ciągu 1-2 dni roboczych.
Zgłoszenia, które nie są w pełni zgodne z powyższymi wytycznymi, nie będą uprawnione do nagród ani żadnych gwarancji w nich omówionych.
Aplikacje
Jesteśmy głównie zainteresowani lukami w zabezpieczeniach, które ostatecznie umożliwiłyby atakującym naruszenie portfeli i/lub aktywów kryptowalutowych z aplikacji Coinomi.
Następujące luki w zabezpieczeniach są objęte zakresem:
- Ominięcie kodu PIN lub danych biometrycznych, z wyłączeniem funkcji dostarczanych natywnie przez system operacyjny
- Ominięcie potwierdzenia użytkownika w celu podpisania transakcji
- Wykrycie wycieku wrażliwych danych poprzez dostęp do pamięci, ruch sieciowy, lokalną pamięć urządzenia itp.
- Ataki na drzewo zależności, czyli ataki na łańcuch dostaw
- Luki w kryptografii związane z wyprowadzeniem BIP-39/32/44 i krzywymi eliptycznymi
Następujące luki w zabezpieczeniach są poza zakresem:
- Nieszyfrowane tokeny usługi Firebase.
Strony internetowe
Jesteśmy zainteresowani krytycznymi lukami w zabezpieczeniach naszej infrastruktury, w tym front-endu i back-endu.
Następujące luki w zabezpieczeniach są poza zakresem:
- Obecność/brak rekordów SPF/DMARC.
- Brak tokenów CSRF.
- Problemy związane z clickjackingiem i tabnaggingiem.
- Brak nagłówków bezpieczeństwa, które nie prowadzą bezpośrednio do luki w zabezpieczeniach.
- Brak najlepszych praktyk (wymagamy dowodów na istnienie luki w zabezpieczeniach).
- Raporty z automatycznych narzędzi lub skanów.
- Raporty o niebezpiecznych szyfrach SSL/TLS (chyba że masz działający dowód koncepcji, a nie tylko raport ze skanera).
- Brak ograniczenia szybkości.
- Nieaktualne oprogramowanie bez żadnej godnej uwagi luki w zabezpieczeniach.
- Niedziałające linki.
- Luki w zabezpieczeniach usług stron trzecich, np. Zendesk, Twitter itp. (zgłaszaj bezpośrednio do nich)