Խոցելիությունների բացահայտման քաղաքականություն

1. Ինչպես հաղորդել

Էլեկտրոնային նամակ ուղարկեք [email protected] հասցեին՝ «Security report» թեմայով։ Մեքենաընթեռնելի կոնտակտային տվյալները հրապարակված են /.well-known/security.txt հասցեում։

Խնդրում ենք ներառել այնքան մանրամասներ, որ մենք կարողանանք անվտանգ վերարտադրել խնդիրը՝ հավելվածի համապատասխան տարբերակը կամ URL-ը, սարքն ու օպերացիոն համակարգի տարբերակը, ձեր կատարած քայլերը, ձեր դիտարկած արդյունքը և այն պատճառը, թե ինչու եք կարծում, որ սա անվտանգության խնդիր է։ Հայեցակարգը հաստատող կոդը, գրանցամատյանները կամ էկրանի տեսագրությունները օգտակար են, եթե դրանք չեն պարունակում այլ անձանց տվյալներ։

Մի ներառեք ձեր սեփական սքրինշոթները, քաղված տեքստը, որոնման բառերը կամ այլ մասնավոր բովանդակություն, եթե դա իրապես անհրաժեշտ չէ խնդիրը ցուցադրելու համար։ Եթե հաղորդման համար զգայուն նյութ է անհրաժեշտ, նախ հայտնեք դրա մասին, և մենք կհամաձայնեցնենք այն մշակելու եղանակը։

2. Գործողության շրջանակը

Գործողության շրջանակում են՝

• Google Play-ի միջոցով տարածվող KeepSift Android հավելվածը։
• KeepSift-ի iOS հավելվածը, որը պատրաստվում է App Store-ում թողարկման՝ ներառյալ նախնական տարբերակները։
• Այս կայքը՝ keepsift.com-ը։

KeepSift-ը տեղային աշխատանքի վրա հիմնված հավելված է՝ առանց հաշիվների, հետնամասային ծառայության, սքրինշոթների ամպային գրադարանի կամ հավելվածում ներկառուցված հեռաչափության։ Android տարբերակը նաև ցանցային թույլտվություն չի հայտարարում։ Հետևաբար, մեզ համար առավել կարևոր խոցելիությունները վերաբերում են սարքում պահվող տվյալներին՝ տեղային ինդեքսի կամ սքրինշոթների բովանդակության ակամա հասանելիություն այլ հավելվածներին, լուսանկարների թույլտվությունների մշակման կամ Android-ի էկրանի նկարահանման գործընթացի թերություններ, քաղված տեքստի ոչ անվտանգ մշակում, հասանելիության իրավունքների կամ գնումների սահմանափակումների շրջանցում և ցանկացած խնդիր, որի պատճառով KeepSift-ը փոխանցում է տվյալներ, որոնք չպետք է փոխանցեր։

3. Գործողության շրջանակից դուրս

• Ծառայության մերժման, ծավալային կամ ռեսուրսների սպառման փորձարկումները։
• Մեր կամ KeepSift-ի օգտատերերի դեմ սոցիալական ինժեներիան, ֆիշինգը կամ ֆիզիկական հարձակումները։
• Հաղորդումները, որոնք վերաբերում են երրորդ կողմերի ծառայություններին, որոնցից մենք օգտվում ենք, այլ ոչ թե մեր սեփական կոդին, ներառյալ App Store-ը, Apple-ի հարթակները, Google Play-ը, Android-ը, Google ML Kit-ը և Cloudflare-ը։ Դրանց մասին հաղորդեք համապատասխան մատակարարին։
• Բացահայտումները, որոնց համար անհրաժեշտ է root կամ jailbreak արված կամ արդեն վտանգված սարք, կամ հարձակվող, որն արդեն ֆիզիկական հասանելիություն ունի ապակողպված հեռախոսին, բացառությամբ այն դեպքերի, երբ կարող եք ցույց տալ, որ դա իրատեսորեն կարող է հանգեցնել ավելի լուրջ հետևանքների։
• Ինքնաշխատ սկանավորման արդյունքները՝ առանց ապացուցված ազդեցության, ինչպես նաև անվտանգության բացակայող վերնագրերը կամ լավագույն գործելակերպի առաջարկությունները՝ առանց շահագործման ուղու։
• Ցանկացած փորձարկում, որը հասանելիություն է ստանում մեկ այլ անձի տվյալներին, փոփոխում կամ ոչնչացնում է դրանք։

4. Ինչ ակնկալել

Մենք փոքր ընկերություն ենք և նախընտրում ենք հանձն առնել այնպիսի նպատակներ, որոնք կարող ենք կատարել, այլ ոչ թե տպավորիչ նպատակներ, որոնք չենք կարող կատարել։

• Մենք 5 աշխատանքային օրվա ընթացքում կհաստատենք ձեր հաղորդման ստացումը։
• Մենք 15 աշխատանքային օրվա ընթացքում ձեզ կտեղեկացնենք՝ արդյոք դա համարում ենք անվտանգության հիմնավոր խնդիր, և կներկայացնենք դրա լրջության մեր նախնական գնահատականը։
• Մենք ձեզ կտեղեկացնենք առնվազն 30 օրը մեկ, քանի դեռ աշխատում ենք շտկման վրա։
• Մենք ձեզ կտեղեկացնենք, երբ շտկումը թողարկվի, և կնշենք հավելվածի համապատասխան տարբերակը։

Եթե օրենքը մեզանից պահանջում է ծանուցել որևէ մարմնի, օրինակ՝ տվյալների պաշտպանության կիրառելի օրենսդրության համաձայն կարգավորող մարմնին կամ արտադրանքի անվտանգության կիրառելի օրենսդրության համաձայն համակարգչային անվտանգության միջադեպերի արձագանքման խմբին, մենք դա կանենք սահմանված ժամկետներում։ Այդ պարտավորությունն անկախ է այս քաղաքականությունից և չի փոխում ձեր՝ որպես հաղորդում ներկայացրած անձի նկատմամբ մեր պարտավորությունները։

5. Համաձայնեցված բացահայտում

Խնդրում ենք մեզ ողջամիտ հնարավորություն տալ շտկելու խնդիրը՝ նախքան այն հրապարակայնորեն բացահայտելը։ Ձեր առաջին հաղորդումից հետո խնդրում ենք տրամադրել 90 օր, իսկ ցանկացած լուրջ խնդրի դեպքում կձգտենք գործել ավելի արագ։

Եթե չկարողանանք խնդիրը շտկել 90 օրվա ընթացքում, ձեզ կբացատրենք պատճառը և անորոշ ժամկետով լռություն խնդրելու փոխարեն ձեզ հետ կհամաձայնեցնենք նոր ամսաթիվ։ Եթե խնդիրն արդեն շահագործվում է, մենք կարող ենք ավելի արագ գործել և բացահայտել այն։ Մենք չենք խնդրի բացահայտումն անորոշ ժամկետով հետաձգել և ժամկետների վերաբերյալ բարեխիղճ անհամաձայնությունը չենք համարի այս քաղաքականության խախտում։

Ձեր թույլտվությամբ մենք սիրով կնշենք ձեր անունը կամ օգտանունը, երբ հրապարակենք շտկումը։

6. Իրավական պաշտպանություն

Եթե խոցելիություն ուսումնասիրելիս բարեխղճորեն ջանում եք հետևել այս քաղաքականությանը, մենք այդ ուսումնասիրության համար ձեր դեմ իրավական գործողություն չենք ձեռնարկի և չենք աջակցի նման գործողության, իսկ ձեր գործունեությունը կհամարենք թույլատրված՝ համակարգչային համակարգերի ոչ իրավաչափ օգտագործման կիրառելի օրենսդրության համաձայն։

Այս պաշտպանությունը պայմանավորված է ձեր բարեխիղճ վարքագծով. փորձարկումներ կատարեք միայն ձեր սեփական սարքի, հաշիվների և տվյալների նկատմամբ, դադարեցրեք հենց որ հաստատեք խոցելիությունը, հասանելիություն մի ստացեք որևէ այլ անձի տվյալներին, մի պատճենեք, փոփոխեք, պահեք կամ ոչնչացրեք դրանք, մի վատթարացրեք ծառայության աշխատանքը այլ անձանց համար, մի զբաղվեք շորթմամբ, մի սպառնացեք և մի հրապարակեք այլ անձանց տեղեկությունները։

Մենք չենք կարող որևէ այլ անձի կամ կազմակերպության անունից նման իրավական պաշտպանություն տրամադրել։ Այն երրորդ կողմերը, որոնց ծառայություններին կամ ենթակառուցվածքին առնչվում եք՝ հավելվածների խանութները, հոսթինգի մատակարարները և հարթակների մատակարարները, ունեն իրենց սեփական քաղաքականությունները, և այս էջը նրանց համար պարտավորություններ չի ստեղծում։

7. Պարգևներ

Մենք վճարովի սխալների հայտնաբերման պարգևատրման ծրագիր չենք վարում և ներկայումս դրամական պարգևներ չենք առաջարկում։ Մենք դա հստակ ենք նշում՝ երկիմաստություն չթողնելու համար։ Մենք առաջարկում ենք հաղորդման արագ մշակում, ազնիվ հաղորդակցություն, ձեր ցանկության դեպքում՝ հրապարակային հիշատակում և անմիջական կապ կոդը գրող անձանց հետ։

8. Կապ

[email protected]
Masorix LLC
Գրանցման համար՝ 999.110.1593071

Ներկայումս մենք PGP բանալի չենք հրապարակում։ Եթե պետք է որևէ բան գաղտնագրված ուղարկել, նախ էլեկտրոնային նամակ ուղարկեք մեզ, և մենք կապի ուղի կկազմակերպենք։