Ta stran je bila samodejno prevedena iz angleščine. Preberi izvirnik v angleščini
Varnostni pravilnik
Če odkrijete varnostno težavo na idzan.hr, me o tem najprej obvestite zasebno, skupaj pa jo bova odpravila. Ta stran pojasnjuje, kaj lahko preizkušate, kako oddate poročilo in kaj lahko v zameno pričakujete od mene.
idzan.hr je osebna spletna stran, ki jo vodi ena oseba. Gre za statično stran z manjšim zasebnim skrbniškim delom. Poročila berem in obdelujem jaz, Marko Idžan.
Obseg
V obsegu je samo spletna stran idzan.hr. Storitve, ki jih upravljajo druga podjetja, so zunaj obsega, tudi če jih idzan.hr uporablja.
V obsegu
- Javna spletna stran na https://idzan.hr in njene strani
- Skrbniško območje spletne strani, če nanj naletite (prosimo, ne poskušajte ugibati ali nasilno vdreti vanj)
- Varnostne glave, piškotki in pasica za soglasje piškotkov, kadar ima ranljivost resničen vpliv
Izven obsega
- Storitve, ki jih upravljajo drugi: ponudnik gostovanja, ponudnik CDN in DNS, ponudniki e-pošte in družbena omrežja, povezana s spletnega mesta. Te težave prijavite zadevnim podjetjem.
- Napad z zavrnitvijo storitve (DoS), testiranje obremenitve ali stresno testiranje ter neželena pošta
- Socialni inženiring, lažno predstavljanje (phishing) ali fizični napadi na mene ali koga drugega
- Poročila samodejnih skenerjev brez dokaza, da je težavo mogoče izkoristiti
- Manjkajoče glave ali nastavitve v skladu z najboljšimi praksami brez prikazanega vpliva
- V spodnašanje klikov (clickjacking) na straneh brez občutljivih dejanj
- Samostojni XSS (Self-XSS) ali težave, ki zahtevajo že ogroženo napravo ali brskalnik
- Številke različic programske opreme ali pasice same po sebi
- Nastavitve e-pošte (SPF, DKIM, DMARC), razen če prikažete delujoč napad lažnega predstavljanja (spoofing)
- Omejitve pogostosti zahtev (rate limits) na javnih straneh, ki ničesar ne spremenijo
Kako oddati poročilo
Poročilo pošljite po e-pošti na marko@idzan.hr ali marko.idzan@protonmail.com z zadevo »Varnost« (Security). Pišite v angleščini ali hrvaščini.
Dobro poročilo vključuje:
- Naslov strani (URL) in kaj je prizadeto
- Korake za ponovitev težave
- Kaj bi napadalec lahko storil s tem (vpliv)
- Dokaz koncepta, kot so posnetki zaslona, kratek video ali poslana zahteva
- Vaše ime ali vzdevek, če želite biti javno omenjeni
Za pošiljanje šifriranega poročila uporabite ključ PGP, naveden na https://idzan.hr/.well-known/security.txt. Pošiljanje z naslova Proton Mail na marko.idzan@protonmail.com je prav tako samodejno šifrirano.
Prosimo, ne poročajte o varnostnih težavah na javnih mestih, kot so družbena omrežja ali javni repozitoriji kode.
Pravila testiranja
Testirajte previdno in prenehajte takoj, ko dokažete, da težava obstaja.
Prosimo, storite naslednje
- Uporabljajte samo lastne testne podatke in račune
- Poskrbite, da bodo samodejna orodja delovala počasi, z največ nekaj zahtevami na sekundo
- Prenehajte s testiranjem in takoj poročajte, če pridete do podatkov nekoga drugega ali do skrbniškega območja
- Izbrišite vse podatke, ki ste jih pridobili med testiranjem, ko je težava odpravljena
- Dajte mi razumen čas, da odpravim težavo, preden o njej govorite v javnosti
Prosimo, ne počnite tega
- Ne poskušajte se prijaviti z uganjenimi ali ukradenimi gesli ali napadati prijave z večFAKTOREMSKO avtentikacijo
- Ne spreminjajte, brišite ali kopirajte podatkov, katerih lastnik niste
- Ne nalagajte zlonamerne programske opreme in ne puščajte stranskih vhodov (backdoors) ali testnih datotek na strežniku
- Ne upočasnjujte spletnega mesta in ga ne izklapljajte
- Ne kršite zakonov, vključno z zakoni Hrvaške in EU
Kaj se zgodi po oddaji poročila
Moj cilj je odgovoriti v 3 delovnih dneh in potrjene težave odpraviti v 90 dneh. Resne težave se odpravijo najprej.
Korak | Ciljni čas |
|---|---|
Potrdim prejem vašega poročila | V 3 delovnih dneh |
Preverim težavo in vam povem, ali je potrjena | V 10 delovnih dneh |
Odpravim potrjeno težavo | Čim prej, v roku 90 dni |
Dogovoriva se o javni objavi | Po objavi popravka |
To je spletno mesto ene osebe, zato lahko med prazniki odgovor traja dlje. Če v 10 delovnih dneh ne prejmete odgovora, pošljite kratek opomnik.
Uporabljam usklajeno razkritje. Ko je popravek objavljen, lahko pišete o težavi. Pred tem se z mano posvetujte glede datuma in izpustite osebne podatke drugih ljudi.
Varno zavetje (Safe harbor)
Če ta pravilnik upoštevate v dobri veri, proti vam ne bom sprožil pravnih postopkov ali vas prijavil organom pregona zaradi vašega raziskovanja.
Dobra vera pomeni, da ostajate v obsegu, upoštevate zgornja pravila in mi svoje ugotovitve sporočite zasebno. Ta obljuba velja samo za idzan.hr. Ne velja za storitve drugih podjetij in ne zavezuje nikogar drugega. Če niste prepričani, ali je nekaj dovoljeno, me najprej vprašajte.
Nagrade in zahvale
Plačljivih denarnih nagrad za napake (bug bounty) ni: idzan.hr je osebno spletno mesto brez proračuna za to. Prosimo, ne zahtevajte plačila pred poročilom ali v zameno zanj.
Če želite, se vam bom z imenom ali vzdevkom zahvalil na seznamu zahval na tem spletnem mestu, ko bo težava odpravljena. V poročilu mi povejte, kako želite biti poimenovani ali ali raje ostanete anonimni.
Vaše poročilo in vaši podatki
Vaše poročilo hranim zasebno in vaše podatke uporabljam izključno za njegovo obravnavo. Vašega imena ali e-poštnega naslova ne bom delil brez vašega dovoljenja. Več o ravnanju z osebnimi podatki je na voljo v izjavi o zasebnosti.
Spremembe tega pravilnika
Ta pravilnik lahko občasno posodobim. Datum na vrhu prikazuje najnovejšo različico, datoteka security.txt pa vedno kaže nanjo.