Розкриття вразливостей

Як повідомити про проблему безпеки в Arc OS, чого очікувати від нас, а також межі й безпечна гавань для сумлінного дослідження.

Як повідомити

• Напишіть на [email protected]. Одна проблема на одне повідомлення.
• Вкажіть, що ви знайшли, де (URL, ендпоінт або commit), кроки для відтворення, вплив і будь-який proof of concept.
• Будь ласка, не розкривайте проблему публічно, доки ми її не виправимо.

Чого очікувати від нас

• Ми підтверджуємо отримання вашого повідомлення протягом 5 робочих днів.
• Ми даємо першу оцінку (прийнято, потрібно більше інформації або поза межами) протягом 10 робочих днів.
• Ми тримаємо вас у курсі до усунення проблеми і повідомляємо, коли її виправлено.
• За вашою згодою ми згадуємо вас у подяках, щойно виправлення стає активним.

Межі

У межах:

• arc-os.co та його піддомени, вебзастосунок і API Arc OS, а також CLI arc та його канал оновлень.

Поза межами:

• Сторонні сервіси, на яких ми будуємо (наприклад Anthropic, Cloudflare, GitHub): повідомляйте про них відповідному провайдеру.
• Знахідки, що потребують скомпрометованого пристрою, рутованої чи зламаної операційної системи або фізичного доступу до чужої машини.
• Соціальна інженерія щодо нашої команди чи користувачів, спам і об'ємні атаки на відмову в обслуговуванні.
• Вивід автоматичних сканерів без доведеного, придатного до експлуатації впливу.

Безпечна гавань

Ми не ініціюватимемо й не підтримуватимемо судових дій проти вас за дослідження безпеки, проведене сумлінно й відповідно до цієї політики. Якщо ви:

• сумлінно намагаєтесь уникати порушень приватності, знищення даних і перерв чи погіршення роботи сервісу,
• взаємодієте лише з акаунтами, якими володієте або маєте явний дозвіл тестувати,
• не отримуєте доступ до даних інших користувачів, не змінюєте й не зберігаєте їх понад мінімум, потрібний для демонстрації проблеми, і
• даєте нам розумний час на виправлення проблеми до її публічного розкриття,

то ми вважаємо ваше дослідження авторизованим і працюватимемо з вами, щоб швидко усунути проблему. Якщо третя сторона ініціює проти вас судові дії за дії, що відповідали цій політиці, ми офіційно підтвердимо цю авторизацію.

Це не платна програма bug-bounty. Наразі ми не пропонуємо грошових винагород.

Запитання

Напишіть на [email protected]. Див. також Огляд безпеки і security.txt за адресою /.well-known/security.txt.