Ujawnianie podatności

Jak zgłosić problem bezpieczeństwa w Arc OS, czego możesz od nas oczekiwać oraz jaki jest zakres i bezpieczna przystań dla badań prowadzonych w dobrej wierze.

Jak zgłosić

• Napisz na [email protected]. Jeden problem na jedno zgłoszenie.
• Dołącz to, co znalazłeś/znalazłaś, gdzie (URL, endpoint lub commit), kroki potrzebne do odtworzenia problemu, jego wpływ oraz ewentualny proof of concept.
• Prosimy, nie ujawniaj problemu publicznie, zanim go nie naprawimy.

Czego możesz od nas oczekiwać

• Potwierdzamy odbiór Twojego zgłoszenia w ciągu 5 dni roboczych.
• Przekazujemy pierwszą ocenę (przyjęte, potrzebujemy więcej informacji lub poza zakresem) w ciągu 10 dni roboczych.
• Informujemy Cię na bieżąco w trakcie usuwania problemu i dajemy znać, gdy zostanie naprawiony.
• Za Twoją zgodą wyróżniamy Cię, gdy poprawka trafi na produkcję.

Zakres

W zakresie:

• arc-os.co i jego subdomeny, aplikacja webowa i API Arc OS oraz CLI arc wraz z jego kanałem aktualizacji.

Poza zakresem:

• Usługi zewnętrzne, na których budujemy (na przykład Anthropic, Cloudflare, GitHub): zgłoś je ich dostawcy.
• Ustalenia, które wymagają skompromitowanego urządzenia, zrootowanego lub po jailbreaku systemu operacyjnego albo fizycznego dostępu do czyjejś maszyny.
• Inżynieria społeczna wobec naszego zespołu lub naszych użytkowników, spam oraz wolumetryczna odmowa usługi.
• Wyniki automatycznych skanerów bez wykazanego, możliwego do wykorzystania wpływu.

Bezpieczna przystań

Nie będziemy podejmować ani wspierać działań prawnych przeciwko Tobie za badania bezpieczeństwa prowadzone w dobrej wierze, które są zgodne z tą polityką. Jeśli:

• w dobrej wierze starasz się unikać naruszeń prywatności, niszczenia danych oraz przerwania lub pogorszenia działania usługi,
• wchodzisz w interakcję wyłącznie z kontami, które posiadasz lub do których testowania masz wyraźne pozwolenie,
• nie uzyskujesz dostępu do danych innych użytkowników, nie zmieniasz ich ani nie zatrzymujesz w zakresie większym niż minimum potrzebne do wykazania problemu, oraz
• dajesz nam rozsądny czas na naprawienie problemu, zanim ujawnisz go publicznie,

wtedy uznajemy Twoje badania za autoryzowane i będziemy z Tobą współpracować, aby szybko rozwiązać problem. Jeśli strona trzecia podejmie działania prawne przeciwko Tobie za działalność zgodną z tą polityką, poinformujemy o tej autoryzacji.

To nie jest płatny program bug-bounty. Obecnie nie oferujemy nagród pieniężnych.

Pytania

Napisz na [email protected]. Zobacz także Przegląd bezpieczeństwa oraz security.txt pod adresem /.well-known/security.txt.