Безбедносна политика

Ако пронађете безбедносни проблем на сајту idzan.hr, молим вас да ме прво обавестите приватним путем, а ја ћу заједно са вама радити на његовом решењу. Ова страница објашњава шта можете да тестирате, како да пријавите проблем и шта можете очекивати од мене заузврат.

idzan.hr је лични веб-сајт који води једна особа. Ово је статички сајт са малим приватним административним делом. Извештаје читам и обрађујем ја, Марко Иџан.

Обим

Само је сам сајт idzan.hr у објекту овог поља деловања. Услуге које пружају друге компаније су ван обіма, чак и када их idzan.hr користи.

У оббиму

Јавни веб-сајт на адреси https://idzan.hr и његове странице
Административни део сајта, ако наиђете на њега (молим вас да не покушавате да га погађате или насилно улазите)
Безбедносна заглавља, колачићи и банер за сагласност за колачиће, када рањивост има стварни утицај

Ван обіма

Услуге које воде други: хостинг провајдер, CDN и DNS провајдер, добављачи е-поште и друштвене мреже повезане са сајтом. Проблеме тамо пријавите тим компанијама.
Напад ускраћивањем услуге (DoS), тестирање оптерећења или стреса и спам
Социјални инжењеринг, фишинг или физички напади на мене или било кога другог
Извештаји аутоматизованих скенера без доказа да се проблем може искористити
Недостајућа заглавља са најбољим праксама или подешавања без показаног утицаја
Кликџекинг (Clickjacking) на страницама без осетљивих радњи
Самостални XSS (Self-XSS) или проблеми за које је потребан већ компромитовани уређај или прегледач
Бројеви верзија софтвера или натписи сами по себи
Подешавања е-поште (SPF, DKIM, DMARC) осим ако не прикажете функционалан напад лажирањем (spoofing)
Ограничења стопе захтева (rate limits) на јавним страницама која ништа не мењају

Како пријавити

Пошаљите извештај е-поштом на marko@idzan.hr или marko.idzan@protonmail.com, са насловом „Security”. Молим вас да пишете на енглеском или хрватском језику.

Добра пријава садржи:

Адресу странице (URL) и шта је тачно погођено
Кораке за репродукцију проблема
Шта би нападач могао да уради са тиме (утицај)
Доказ концепта, као што су снимци екрана, кратак видео или захтев који сте послали
Ваше име или надимак, уколико желите да вам се јавно захвалим

Да бисте послали шифровани извештај, користите PGP кључ наведен на https://idzan.hr/.well-known/security.txt. Слање са Proton Mail адресе на marko.idzan@protonmail.com се такође аутоматски шифрује.

Молим вас да не пријављујете безбедносне проблеме на јавним местима, као што су друштвене мреже или јавна складишта кода.

Правила тестирања

Тестирајте пажљиво и престаните чим покажете да проблем постоји.

Молим вас да

Користите искључиво сопствене тестове података и налоге
Држите аутоматизоване алате спорима, на највише неколико захтева у секунди
Престанете са тестирањем и одмах пријавите ако дођете до туђих података или административног дела
Обришете све податке које сте добили током тестирања након што се проблем реши
Оставите ми разумно време да отклоним проблем пре него што о њему јавно говорите

Молим вас да не

Не покушавате да се пријавите помоћу погођених или украдених лозинки, нити да нападате двофакторску пријаву
Не мењате, бришете или копирате податке чији нисте власник
Не отпремате софтвер са грешком (малвер) или остављате задња врата (backdoor) или тест фајлове на серверу
Не успоравате сајт и не чините га недоступним
Не кршите закон, укључујући законе Хрватске и ЕУ

Шта се дешава након пријаве

Циљ ми је да одговорим у року од 3 радна дана и да отклоним потврђене проблеме у року од 90 дана. Озбиљни проблеми се решавају први.

Корак	Циљано време
Потврђујем пријем вашег извештаја	У року од 3 радна дана
Проверавам проблем и обавештавам вас да ли је потврђен	У року од 10 радних дана
Исправљам потврђени проблем	Што је брже могуће, у року од 90 дана
Договарамо се око јавног објављивања	Након што је исправка пуштена у рад

Ово је сајт који води једна особа, тако да одговор може потрајати дуже током празника. Ако не добијете одговор у року од 10 радних дана, пошаљите кратак подсетник.

Пратим координатну објаву. Када је исправка активна, слободно можете писати о проблему. Молим вас да прво проверите датум са мном и изоставите личне податке других људи.

Сигурна лука (Safe harbor)

Ако пратите ову политику у доброј вери, нећу покретати правни поступак против вас нити вас пријављивати надлежним органима због вашег истраживања.

Добра вера значи да остајете у оквиру задатог обима, пратите горња правила и пријављујете ми оно што пронађете приватним путем. Ово обећање покрива само idzan.hr. Оно не покрива услуге других компанија и не обавезује никог другог. Ако нисте сигурни да ли је нешто дозвољено, прво ме питајте.

Награде и захвалност

Не постоји плаћена новчана награда за проналажење грешака (bug bounty): idzan.hr је лични сајт без буџета за ту намену. Молим вас да не тражите плаћање пре или у замену за извештај.

Ако желите, захвалићу вам се по именом или надимком на листи захвалности на овом сајту након што проблем буде решен. Наведите у извештају како бисте желели да будете именовани или да више волите да останете анонимни.

Ваш извештај и ваши подаци

Ваш извештај чувам као поверљив и користим ваше податке искључиво ради његове обраде. Нећу делити ваше име или е-пошту без ваше дозволе. Више о томе како се поступа са личним подацима можете пронаћи у Изјави о приватности.

Промене ове политике

Може се десити да повремено ажурирам ову политику. Датум на врху приказује најновију верзију, а фајл security.txt увек води до ње.