Политика раскрытия уязвимостей

1. Как сообщить об уязвимости

Отправьте письмо на [email protected] с темой «Security report». Машиночитаемые контактные данные опубликованы по адресу /.well-known/security.txt.

Укажите достаточно подробностей, чтобы мы могли безопасно воспроизвести проблему: затронутую версию приложения или URL-адрес, устройство и версию операционной системы, предпринятые вами шаги, то, что вы наблюдали, и причины, по которым вы считаете это проблемой безопасности. Полезны демонстрационный код, журналы или записи экрана, если они не содержат данных других людей.

Не включайте собственные снимки экрана, извлечённый текст, поисковые запросы или другие конфиденциальные материалы, если они действительно не нужны для демонстрации проблемы. Если для сообщения требуются чувствительные материалы, сначала скажите об этом, и мы согласуем способ их передачи.

2. Область действия

В область действия входят:

• Приложение KeepSift для Android, распространяемое через Google Play.
• Приложение KeepSift для iOS, которое готовится к выпуску в App Store, включая предварительные версии.
• Этот сайт, keepsift.com.

KeepSift — приложение с приоритетом локальной обработки, в котором нет учётных записей, серверной службы, облачной библиотеки снимков экрана или встроенной телеметрии. Сборка для Android также не заявляет разрешение на доступ к сети. Поэтому наиболее важные для нас уязвимости связаны с данными на устройстве: непреднамеренное раскрытие локального индекса или содержимого снимков экрана другим приложениям, недостатки в обработке разрешений на доступ к фотографиям или в процессе создания снимков экрана Android, небезопасная обработка извлечённого текста, обход прав доступа или покупок, а также любые проблемы, из-за которых KeepSift передаёт данные, которые не должен передавать.

3. За пределами области действия

• Тестирование отказа в обслуживании, объёмной нагрузки или исчерпания ресурсов.
• Социальная инженерия, фишинг или физические атаки против нас или пользователей KeepSift.
• Сообщения, затрагивающие сторонние службы, от которых мы зависим, а не наш собственный код, включая App Store, платформы Apple, Google Play, Android, Google ML Kit и Cloudflare. Сообщайте о таких проблемах соответствующему поставщику.
• Уязвимости, для эксплуатации которых требуется устройство с root-доступом, джейлбрейком или уже скомпрометированное устройство либо физический доступ злоумышленника к разблокированному телефону, если только вы не покажете, что это реалистично может привести к более серьёзным последствиям.
• Результаты автоматизированного сканирования без доказанного воздействия, а также отсутствующие заголовки безопасности или рекомендации по передовым практикам без пути эксплуатации.
• Любое тестирование, которое получает доступ к данным другого лица, изменяет или уничтожает их.

4. Чего ожидать

Мы — небольшая компания и предпочитаем брать на себя обязательства по целевым срокам, которые можем выполнить, а не по впечатляющим срокам, которые выполнить не сможем.

• Мы подтвердим получение вашего сообщения в течение 5 рабочих дней.
• Мы сообщим, считаем ли проблему обоснованной проблемой безопасности, и предоставим первоначальную оценку её серьёзности в течение 15 рабочих дней.
• Мы будем информировать вас не реже одного раза в 30 дней, пока работаем над исправлением.
• Мы сообщим вам, когда исправление будет выпущено и в какой версии приложения.

Если закон требует, чтобы мы уведомили орган власти — например, регулирующий орган в соответствии с применимым законодательством о защите данных или группу реагирования на инциденты компьютерной безопасности в соответствии с применимым законодательством о безопасности продукции, — мы сделаем это в установленные сроки. Эта обязанность не зависит от настоящей политики и не меняет наших обязательств перед вами как перед автором сообщения.

5. Согласованное раскрытие

Предоставьте нам разумную возможность исправить проблему до её публичного раскрытия. Мы просим предоставить 90 дней с момента вашего первого сообщения и постараемся действовать быстрее, если проблема серьёзная.

Если мы не сможем исправить проблему в течение 90 дней, мы объясним причину и согласуем с вами новую дату, а не будем просить хранить молчание неопределённо долго. Если проблема уже эксплуатируется, мы можем действовать и раскрыть её быстрее. Мы не будем просить вас откладывать раскрытие на неопределённый срок и не будем считать добросовестное разногласие относительно сроков нарушением настоящей политики.

С вашего разрешения мы с радостью укажем ваше имя или псевдоним при публикации исправления.

6. Правовая защита

Если при исследовании уязвимости вы добросовестно стремитесь соблюдать настоящую политику, мы не будем предпринимать или поддерживать юридические действия против вас в связи с этим исследованием и будем считать вашу деятельность разрешённой в соответствии с применимым законодательством о неправомерном использовании компьютерных систем.

Эта защита зависит от вашей добросовестности: проводите тестирование только на собственных устройствах, в собственных учётных записях и с собственными данными; остановитесь, как только подтвердите уязвимость; не получайте доступ к данным других лиц, не копируйте, не изменяйте, не сохраняйте и не уничтожайте их; не ухудшайте работу сервиса для других лиц; не вымогайте, не угрожайте и не публикуйте информацию других людей.

Мы не можем предоставить такую правовую защиту от имени кого-либо ещё. Третьи стороны, чьи сервисы или инфраструктуру вы затрагиваете, — магазины приложений, хостинг-провайдеры и поставщики платформ — имеют собственные политики, и эта страница не создаёт для них обязательств.

7. Вознаграждения

Мы не проводим платную программу вознаграждений за обнаружение ошибок и в настоящее время не предлагаем денежные вознаграждения. Мы прямо указываем это, чтобы не оставлять двусмысленности. Мы предлагаем оперативную обработку, честное общение, публичное признание по вашему желанию и прямую связь с людьми, которые пишут код.

8. Контакты

[email protected]
Masorix LLC
Регистрационный номер 999.110.1593071

В настоящее время мы не публикуем PGP-ключ. Если вам нужно отправить что-либо в зашифрованном виде, сначала напишите нам по электронной почте, и мы организуем канал связи.