Keybe/Jurídico/Programa de divulgação de vulnerabilidades

Programa de divulgação de vulnerabilidades

Nosso Programa de Divulgação de Vulnerabilidades tem como objetivo minimizar o impacto que qualquer falha de segurança possa ter sobre nossa ferramenta ou sobre os usuários. Para ser elegível ao Programa, a vulnerabilidade deve existir na versão pública mais recente. Lembre-se de que somente vulnerabilidades de segurança serão pontuadas.

Diretrizes e limitações de escopo

Antes de enviar um relato, revise as informações a seguir, incluindo nosso cronograma de divulgação de vulnerabilidades, o escopo e as demais diretrizes. Para incentivar a investigação de vulnerabilidades e evitar qualquer confusão entre o hacking de boa-fé e um ataque malicioso, pedimos que você:

  1. Siga este Programa de Divulgação, bem como quaisquer outros acordos pertinentes.
  2. Não cause nenhum dano, não prejudique o funcionamento da aplicação nem atue em desacordo com nosso Acordo de Termos de Uso.
  3. Não acesse intencionalmente dados não públicos da Keybe além do necessário para demonstrar a vulnerabilidade.
  4. Não acesse, modifique, destrua, salve, transmita, altere, transfira, utilize ou visualize dados que pertençam a terceiros. Caso uma vulnerabilidade permita o acesso involuntário a dados, interrompa os testes, elimine as informações armazenadas localmente e envie um relato imediatamente.
  5.  Evite violar a privacidade de terceiros, interromper nossos sistemas, destruir dados e/ou prejudicar a experiência do usuário.
  6. Não comprometa a privacidade ou a segurança de nossos clientes nem o funcionamento de nossos serviços. Esse tipo de atividade será tratado como ilegal.
  7. Mantenha a confidencialidade dos detalhes de quaisquer vulnerabilidades descobertas, de acordo com este Cronograma de Divulgação. A divulgação pública não coordenada de uma vulnerabilidade poderá resultar na desclassificação deste programa.
  8. Cumpra as leis e os regulamentos aplicáveis.
  9. Utilize somente os canais oficiais designados para tratar conosco de informações sobre vulnerabilidades.
  10. Ao realizar uma investigação genuína de vulnerabilidades em conformidade com este Programa de Divulgação, consideraremos essa investigação Autorizada nos termos do Computer Fraud and Abuse Act (CFAA) (e/ou de leis estaduais semelhantes), e não iniciaremos nem apoiaremos ações judiciais contra você por violações acidentais e de boa-fé deste Programa de Divulgação cometidas durante uma investigação genuína de vulnerabilidades.
  11. Isenção em relação ao Digital Millennium Copyright Act (DMCA): não moveremos ação judicial contra você por contornar controles tecnológicos durante uma investigação genuína de vulnerabilidades realizada em conformidade com este Programa de Divulgação.
  12. Isenção em relação às restrições de nosso Acordo de Termos de Uso que possam interferir na realização de uma investigação genuína de segurança de vulnerabilidades: renunciamos a essas restrições, de forma limitada, para investigações genuínas de vulnerabilidades conduzidas no âmbito deste Programa de Divulgação.
  13. Que a investigação seja legal, contribua para a segurança geral da Internet e seja realizada de boa-fé.

Reservamo-nos o direito de não agir diante de constatações que não tenham impacto real sobre a integridade e a segurança de nossos dados. Qualquer investigação que viole as condições deste Programa, o Acordo de Termos de Uso, a documentação relacionada à segurança e o GDPR, bem como a legislação vigente, será tratada como ato de má-fé e de forma ilícita. Não somos obrigados a oferecer remuneração, honorários ou recompensas pela divulgação de uma vulnerabilidade; essa decisão fica a nosso exclusivo critério.

Se, a qualquer momento, você tiver alguma preocupação ou dúvida sobre se sua investigação de segurança está em conformidade com este Programa de Divulgação, envie um relato por meio de um de nossos canais oficiais de notificação antes de prosseguir.

Escopo de aplicação

No momento, os seguintes serviços e aplicações estão dentro do escopo:

Aplicação e infraestrutura web:

Fora do escopo de aplicação

Aceitamos somente testes manuais ou semimanuais. Todas as constatações obtidas por ferramentas ou scripts automatizados serão consideradas fora do escopo. Além disso, quaisquer problemas sem um impacto de segurança claramente identificado, a ausência de cabeçalhos de segurança ou mensagens de erro descritivas serão considerados fora do escopo.

Os itens a seguir também são considerados fora do escopo:

  1. Ataques concebidos para degradar, negar ou afetar negativamente os serviços ou a experiência do usuário, ou com probabilidade de fazê-lo (por exemplo, negação de serviço, negação de serviço distribuída, força bruta, password spraying, spam…).
  2. Ataques concebidos para destruir, corromper ou tornar ilegíveis (ou tentar fazê-lo) dados ou informações que não pertençam a você, ou capazes de fazê-lo.
  3. Ataques concebidos para validar credenciais roubadas, reutilização de credenciais, apropriação de contas (ATO), sequestro ou outras técnicas baseadas em credenciais, ou capazes de fazê-lo.
  4. Acessar intencionalmente dados ou informações que não pertençam a você além do acesso mínimo viável necessário para demonstrar a vulnerabilidade.
  5. Realizar ataques físicos, de engenharia social ou eletrônicos contra nossa equipe, nossos escritórios, nossas redes sem fio ou nossas instalações.
  6. Problemas de segurança em aplicações, serviços ou dependências de terceiros que se integrem aos produtos ou à infraestrutura da Keybe e que não contem com uma prova de conceito demonstrável da vulnerabilidade (por exemplo, bibliotecas, serviços SAAS).
  7. Problemas ou vulnerabilidades de segurança criados ou introduzidos pelo informante (por exemplo, modificar uma biblioteca em que confiamos para incluir uma vulnerabilidade com o único objetivo de receber uma recompensa).
  8. Ataques realizados contra qualquer sistema que não esteja expressamente mencionado como autorizado e dentro do escopo de aplicação.
  9. Relatos sobre a falta de “boas práticas” ou de outras diretrizes que não indiquem um problema de segurança.
  10.  Ataques relacionados a servidores de e-mail, protocolos de e-mail, segurança de e-mail (por exemplo, SPF, DMARC, DKIM) ou spam.
  11.  Ausência de flags em cookies não sensíveis.
  12. Relatos sobre criptografia SSL/TLS insegura (salvo se acompanhados de uma prova de conceito funcional).
  13. Relatos sobre como descobrir se determinado cliente pode se autenticar em um produto ou serviço da amoCRM.
  14.  Relatos de mapeamento entre nomes de código e nomes de clientes.
  15.  Relatos de simples varredura de portas ou de IPs.
  16. Ausência de cabeçalhos HTTP (por exemplo, ausência de HSTS).
  17. Boas práticas ou controles de segurança de e-mail (por exemplo, SPF, DKIM, DMARC).
  18. Banners, fingerprints ou identificações de software ou de infraestrutura sem vulnerabilidade comprovada.
  19. Relatos de clickjacking ou autoXSS.
  20.  Relatos de registros DNS que possam ser resolvidos publicamente ou que sejam acessíveis a hosts ou infraestrutura internos.
  21. Phishing baseado em domínios, typosquatting, punycodes, bitflips ou outras técnicas.
  22.  Violação de qualquer lei ou descumprimento de qualquer acordo (ou qualquer relato a respeito).

Relato

Os resultados devem ser respaldados por documentação clara e precisa, sem informações especulativas. Todas as constatações devem indicar sua relevância e seu impacto. Lembre-se de apresentar um resumo detalhado da vulnerabilidade, incluindo o objetivo, as etapas, as ferramentas e os artefatos utilizados durante a descoberta, de modo que possamos reproduzir a vulnerabilidade.

Para garantir que suas observações sejam comunicadas corretamente, você deve utilizar somente os canais aprovados, ou seja, deve comunicar a vulnerabilidade descoberta por e-mail para [email protected].