Раскрытие уязвимостей

Как сообщить о проблеме безопасности в Arc OS, чего ожидать от нас, а также область действия и правовая защита для добросовестных исследований.

Как сообщить

• Напиши на [email protected]. Одно сообщение на одну проблему.
• Укажи, что ты нашёл, где (URL, endpoint или commit), шаги для воспроизведения, последствия и любой proof of concept.
• Пожалуйста, не раскрывай проблему публично до того, как мы её исправим.

Чего ожидать от нас

• Мы подтверждаем получение твоего сообщения в течение 5 рабочих дней.
• Мы даём первую оценку (принято, нужна дополнительная информация или вне области действия) в течение 10 рабочих дней.
• Мы держим тебя в курсе на протяжении всего устранения и сообщаем, когда проблема исправлена.
• С твоего согласия мы указываем твоё авторство после того, как исправление станет доступным.

Область действия

В области действия:

• arc-os.co и его поддомены, веб-приложение и API Arc OS, а также CLI arc и его канал обновлений.

Вне области действия:

• Сторонние сервисы, на которых мы построены (например, Anthropic, Cloudflare, GitHub): сообщай о них провайдеру.
• Находки, которые требуют скомпрометированного устройства, операционной системы с root-доступом или jailbreak, либо физического доступа к чьей-то машине.
• Социальная инженерия в отношении нашей команды или наших пользователей, спам и объёмные атаки типа "отказ в обслуживании".
• Вывод автоматических сканеров без продемонстрированного, эксплуатируемого воздействия.

Правовая защита (safe harbor)

Мы не будем преследовать тебя в судебном порядке и не будем поддерживать такое преследование за исследование безопасности, проведённое добросовестно и в соответствии с этой политикой. Если ты:

• добросовестно стараешься избегать нарушений приватности, уничтожения данных, а также прерывания или ухудшения работы сервиса,
• взаимодействуешь только с аккаунтами, которыми владеешь или которые тебе явно разрешено тестировать,
• не получаешь доступ к данным других пользователей, не изменяешь и не сохраняешь их сверх минимума, необходимого для демонстрации проблемы, и
• даёшь нам разумное время на исправление проблемы до её публичного раскрытия,

тогда мы считаем твоё исследование авторизованным и будем работать с тобой, чтобы быстро устранить проблему. Если третья сторона инициирует судебное разбирательство против тебя за действия, которые соответствовали этой политике, мы доведём эту авторизацию до сведения.

Это не платная программа bug-bounty. В настоящее время мы не предлагаем денежного вознаграждения.

Вопросы

Напиши на [email protected]. Смотри также Обзор безопасности и security.txt по адресу /.well-known/security.txt.