Ova je stranica automatski prevedena s engleskog jezika. Pročitajte izvornik na engleskom jeziku
Sigurnosna politika
Ako pronađeš sigurnosni problem na idzan.hr, molim te da me najprije obavijestiš privatno, a ja ću raditi s tobom na njegovom rješavanju. Ova stranica objašnjava što možeš testirati, kako prijaviti problem i što možeš očekivati zauzvrat.
idzan.hr je osobni web-site kojim upravlja jedna osoba. To je statična stranica s malim privatnim administratorskim dijelom. Izvješća čitam i obrađujem ja, Marko Idžan.
Opseg
U opsegu je samo sam idzan.hr. Usluge koje pokreću druge tvrtke izvan su opsega, čak i kada ih idzan.hr koristi.
U opsegu
- Javna web-stranica na https://idzan.hr i njezine stranice
- Administratorski dio stranice, ako na njega naiđeš (molim te nemoj pokušavati pogađati ili nasilno prodirati unutra)
- Sigurnosna zaglavlja, kolačići i traka za pristanak na kolačiće, kada slabost ima stvarni utjecaj
Izvan opsega
- Usluge koje pokreću drugi: pružatelj usluge hostinga, CDN i DNS pružatelj, pružatelji e-pošte i društvene mreže povezane sa stranicom. Tamošnje probleme prijavi tim tvrtkama.
- Uskraćivanje usluge (DoS), testiranje opterećenja ili stres-testovi te neželjena pošta (spam)
- Društveni inženjering, phishing ili fizički napadi na mene ili bilo koga drugog
- Izvješća iz automatiziranih skenera bez dokaza da se problem može iskoristiti
- Nedostatak preporučenih zaglavlja ili postavki bez vidljivog utjecaja
- Clickjacking na stranicama bez osjetljivih radnji
- Self-XSS ili problemi koji zahtijevaju već kompromitirani uređaj ili preglednik
- Sami brojevi verzija softvera ili natpisi
- Postavke e-pošte (SPF, DKIM, DMARC) osim ako pokažeš funkcionalan napad lažiranjem (spoofing)
- Ograničenja brzine (rate limits) na javnim stranicama koja ništa ne mijenjaju
Kako prijaviti
Pošalji svoje izvješće na marko@idzan.hr ili marko.idzan@protonmail.com, s naznakom „Security” u naslovu. Piši na engleskom ili hrvatskom jeziku.
Dobar izvještaj uključuje:
- Adresu stranice (URL) i što je zahvaćeno
- Korake za reproduciranje problema
- Što bi napadač mogao učiniti s time (utjecaj)
- Dokaz koncepta, kao što su snimke zaslona, kratki videozapis ili zahtjev koji si poslao/la
- Tvoje ime ili nadimak, ako želiš biti javno spomenut/a
Za slanje šifriranog izvješća koristi PGP ključ naveden na https://idzan.hr/.well-known/security.txt. Slanje s Proton Mail adrese na marko.idzan@protonmail.com također se automatski šifrirat će.
Molim te nemoj prijavljivati sigurnosne probleme na javnim mjestima, kao što su društvene mreže ili javna spremišta koda.
Pravila za testiranje
Testiraj pažljivo i stani čim dokažeš da problem postoji.
Molim te učini
- Koristi samo vlastite testne podatke i račune
- Drži automatizirane alate sporima, na najviše nekoliko zahtjeva u sekundi
- Prekini testiranje i odmah prijavi ako dođeš do tuđih podataka ili administratorskog dijela
- Izbriši sve podatke koje si dobio/la tijekom testiranja nakon što je problem riješen
- Daj mi razumno vrijeme da riješim problem prije nego što o njemu javno govoriš
Molim te nemoj
- Pokušavati se prijaviti pogođenim ili ukradenim lozinkama, niti napadati dvofaktorsku prijavu
- Mijenjati, brisati ili kopirati podatke čiji nisi vlasnik
- Učitavati zlonamjerni softver (malware) niti ostavljati stražnja vrata (backdoors) ili testne datoteke na poslužitelju
- Usporavati web-stranicu ili je izvan pogona
- Kršiti zakon, uključujući zakone Hrvatske i EU
Što se događa nakon prijave
Cilj mi je odgovoriti u roku od 3 radna dana i riješiti potvrđene probleme u roku od 90 dana. Ozbiljni problemi rješavaju se prvi.
Korak | Ciljano vrijeme |
|---|---|
Potvrđujem da sam primio tvoje izvješće | U roku od 3 radna dana |
Provjeravam problem i javljam ti je li potvrđen | U roku od 10 radnih dana |
Rješavam potvrđeni problem | Što je brže moguće, u roku od 90 dana |
Dogovaramo se oko javne objave | Nakon što je ispravak aktivan |
Ovo je web-stranica jedne osobe, tako da odgovor može potrajati dulje tijekom praznika. Ako ne čuješ ništa unutar 10 radnih dana, pošalji kratki podsjetnik.
Slijedim koordiniranu objavu. Kada je ispravak aktivan, slobodno možeš pisati o problemu. Molim te provjeri datum sa mnom unaprijed i izostavi tuđe osobne podatke.
Sigurna luka (Safe harbor)
Ako se ove politike pridržavaš u dobroj vjeri, neću poduzeti pravne korake protiv tebe niti te prijaviti vlastima zbog tvog istraživanja.
Dobra vjera znači da ostaješ unutar opsega, slijediš gore navedena pravila i prijavljuješ ono što pronađeš meni privatno. Ovo obećanje pokriva samo idzan.hr. Ne pokriva usluge drugih tvrtki i ne obvezuje nikoga drugog. Ako nisi siguran/a je li nešto dopušteno, pitaj me prvenstveno.
Nagrade i zahvale
Nema novčane nagrade za bugove (bug bounty): idzan.hr je osobna stranica bez proračuna za to. Molim te nemoj tražiti plaćanje prije ili u zamjenu za izvješće.
Ako želiš, zahvalit ću ti imenom ili nadimkom na popisu zahvala na ovoj stranici nakon što je problem riješen. Reci mi u izvješću kako želiš biti imenovan/a ili preferiraš li ostati anoniman/a.
Tvoje izvješće i tvoji podaci
Tvoje izvješće čuvam u tajnosti i koristim tvoje podatke samo za njegovo rješavanje. Neću dijeliti tvoje ime ili e-poštu bez tvog dopuštenja. Više o tome kako se postupa s osobnim podacima nalazi se u Izjavi o privatnosti.
Promjene ove politike
Mogu povremeno ažurirati ovu politiku. Datum na vrhu pokazuje najnoviju verziju, a datoteka security.txt uvijek upućuje na nju.