Политика раскрытия уязвимостей

001K Bot серьёзно относится к безопасности своей Платформы, систем, пользователей и Цифровых активов пользователей. Мы ценим работу исследователей безопасности, которые помогают нам выявлять и устранять потенциальные уязвимости.

Если вы считаете, что обнаружили уязвимость безопасности, затрагивающую 001K Bot, просим сообщить нам о ней в соответствии с настоящей Политикой раскрытия уязвимостей (далее — «Политика»).

Проводя исследования безопасности, связанные с Платформой, вы соглашаетесь соблюдать настоящую Политику и применимые Условия использования, за исключением случаев, когда настоящая Политика прямо разрешает действия, которые в противном случае ограничивались бы Условиями использования.

1. Как сообщить об уязвимости

Просим сообщать о предполагаемых уязвимостях безопасности по электронной почте [email protected].

Для сообщений, содержащих конфиденциальную информацию, рекомендуем шифровать переписку с помощью нашего открытого PGP-ключа:

PGP-ключ:

https://001k.bot/.well-known/security-pubkey.asc

Отпечаток:

FA18 D018 8275 CD97 BC0F 114A B868 16AE 1024 772F

Чтобы помочь нам эффективно расследовать ваше сообщение, укажите, где применимо:

• затронутый URL, эндпоинт, приложение или компонент;
• чёткое описание уязвимости;
• шаги, необходимые для воспроизведения проблемы;
• потенциальное или продемонстрированное влияние на безопасность;
• соответствующие скриншоты, логи, запросы или иную техническую информацию;
• ID аккаунта или ID API-ключа, использованного при тестировании, где это уместно (никогда не передавайте API-секреты, пароли, приватные ключи, seed-фразы или иные секреты аутентификации); и
• ваши контактные данные, если вы хотите, чтобы мы связались с вами по поводу сообщения.

Просим не сообщать об уязвимостях через публичные каналы, социальные сети или службу поддержки. Об уязвимостях безопасности следует сообщать исключительно через указанный выше специальный контакт по вопросам безопасности.

2. Наши обязательства

В отношении сообщений, направленных в соответствии с настоящей Политикой, мы стремимся:

• подтвердить получение сообщения в течение 2 рабочих дней;
• предоставить первичную оценку в течение 5 рабочих дней, где это разумно осуществимо;
• информировать автора сообщения о существенных изменениях в ходе расследования и устранения, где это уместно;
• согласовывать с автором сообщения ответственное раскрытие подтверждённых уязвимостей, если публичное раскрытие уместно; и
• публично отмечать вклад автора сообщения, если он об этом просит и это уместно.

Если иное не согласовано с автором сообщения в письменной форме, мы стремимся расследовать и устранить подтверждённые уязвимости в течение срока ответственного раскрытия, установленного в Разделе 7 настоящей Политики.

Сроки устранения могут различаться в зависимости от сложности, критичности и масштаба уязвимости. Любое изменение сроков устранения само по себе не продлевает срок ответственного раскрытия, установленный в Разделе 7.

3. Системы в рамках Политики

Настоящая Политика применяется к исследованиям безопасности следующих систем и сервисов, эксплуатируемых 001K Bot или от его имени:

• Веб-приложение — app.001k.bot;
• Веб-сайт — 001k.bot;
• Публичный API — api.001k.world, включая /api/v1, запросы с HMAC-подписью и коллбэки мерчантов;
• Официальный Telegram-бот 001K Bot и Mini App, на которые ведут ссылки с 001k.bot; и
• 001k-cli и входящий в его состав skill.

Нас особенно интересуют уязвимости, которые могут привести к:

• несанкционированному доступу к аккаунту, балансу или данным другого пользователя;
• несанкционированным выводам, переводам, обменам (свопам) или иному перемещению Цифровых активов;
• обходу двухфакторной аутентификации (2FA), дополнительной (step-up) аутентификации, подтверждения транзакций или средств защиты адресов вывода;
• обходу аутентификации API, проверки подписи или защиты от повторного воспроизведения запросов (replay);
• несанкционированному изменению балансов, транзакций или комиссий;
• несанкционированному доступу к данным KYC, AML, персональным или иным конфиденциальным данным либо их раскрытию;
• повышению привилегий или обходу аутентификации/авторизации;
• серверным инъекциям;
• подделке серверных запросов (Server-Side Request Forgery, SSRF);
• удалённому выполнению кода (Remote Code Execution, RCE); или
• иным уязвимостям, способным существенно повлиять на конфиденциальность, целостность или доступность Платформы или активов пользователей.

4. Системы и находки вне рамок Политики

В рамки настоящей Политики не входят:

• уязвимости, затрагивающие сторонние сервисы или инфраструктуру, не контролируемые 001K Bot, включая собственные системы и инфраструктуру Telegram, сторонние биржи, KYC/AML-провайдеров и Cloudflare; при этом уязвимости, затрагивающие сам официальный Telegram-бот 001K Bot или Mini App, остаются в рамках Политики, как предусмотрено Разделом 3. Об уязвимостях сторонних систем следует сообщать непосредственно соответствующему провайдеру;
• тестирование на отказ в обслуживании (DoS/DDoS), стресс-, нагрузочное или объёмное тестирование;
• социальная инженерия, фишинг, выдача себя за другое лицо или иные атаки на сотрудников, подрядчиков, партнёров или пользователей;
• физические атаки на офисы, инфраструктуру, персонал или оборудование; и
• находки, не демонстрирующие значимого влияния на безопасность.

Примеры находок, которые, как правило, не считаются уязвимостями безопасности:

• отсутствие заголовков безопасности или атрибутов cookie без продемонстрированного влияния;
• кликджекинг на страницах, не выполняющих чувствительных действий;
• self-XSS;
• баннеры с указанием программного обеспечения или версий без продемонстрированной эксплуатируемой уязвимости;
• замечания по настройке SPF, DKIM или DMARC без продемонстрированного влияния на безопасность;
• замечания об ограничении частоты запросов (rate limiting) для нечувствительной функциональности; и
• результаты автоматических сканеров без доказательств эксплуатируемого влияния на безопасность.

5. Правила проведения исследований

Проводя исследования безопасности в рамках настоящей Политики, вы обязаны:

• тестировать только аккаунты, API-ключи, кошельки и иные ресурсы, которые принадлежат вам или которые вы прямо уполномочены использовать;
• не осуществлять намеренно доступ к данным или Цифровым активам другого пользователя, не получать, не изменять, не удалять, не раскрывать, не переводить их и иным образом не вмешиваться в них;
• немедленно прекратить тестирование, если вы случайно получили доступ к данным, аккаунту или Цифровым активам другого пользователя, и сообщить нам о проблеме, не сохраняя, не копируя, не скачивая такую информацию и не обращаясь к ней повторно;
• использовать только минимальный уровень доступа и активности, разумно необходимый для демонстрации уязвимости;
• не эксплуатировать уязвимость сверх того, что разумно необходимо для подтверждения её наличия и влияния на безопасность;
• не пытаться закрепиться в системе или сохранять несанкционированный доступ к какой-либо системе;
• не внедрять вредоносное ПО, программы-вымогатели, бэкдоры, разрушающий код или иное вредоносное программное обеспечение;
• поддерживать низкую и разумную интенсивность автоматического тестирования и следить за тем, чтобы ваше тестирование существенно не ухудшало работу Платформы и не затрагивало других пользователей;
• не проводить тестирование на отказ в обслуживании, стресс-, нагрузочное или объёмное тестирование;
• не использовать для тестирования личность или KYC-документы другого лица;
• сохранять конфиденциальность информации об уязвимости в течение срока ответственного раскрытия, установленного в Разделе 7, и воздерживаться от публичного раскрытия в течение этого срока, если иное не согласовано с нами в письменной форме; и
• соблюдать применимое законодательство и настоящую Политику на протяжении всего исследования.

5.1. Тестирование с использованием Цифровых активов

Вам следует избегать использования реальных Цифровых активов, за исключением случаев, когда это строго необходимо для демонстрации уязвимости.

Если тестирование с использованием реальных Цифровых активов необходимо, по возможности свяжитесь с нами по адресу [email protected] до его начала и используйте только минимальную сумму, необходимую для демонстрации проблемы.

001K Bot не гарантирует возмещение Цифровых активов или иных средств, использованных, переведённых, утраченных или иным образом затронутых в ходе тестирования безопасности, если возмещение не было прямо согласовано нами в письменной форме заранее.

6. Защита данных пользователей

Исследования безопасности должны проводиться таким образом, чтобы минимизировать доступ к персональной, конфиденциальной, KYC/AML-, финансовой или транзакционной информации.

Если вы случайно столкнулись с информацией, принадлежащей другому пользователю:

• немедленно прекратите доступ к затронутой системе или данным;
• не скачивайте, не копируйте, не сохраняйте, не передавайте и иным образом не используйте эту информацию;
• надёжно удалите любую случайно полученную информацию, где применимо; и
• немедленно уведомите нас по адресу [email protected].

Сообщения должны содержать только минимальный объём пользовательской или конфиденциальной информации, необходимый нам для воспроизведения и расследования уязвимости.

7. Ответственное раскрытие

Просим сохранять конфиденциальность информации о предполагаемых или подтверждённых уязвимостях, пока мы расследуем и устраняем проблему в течение описанного ниже срока ответственного раскрытия.

Если более ранняя дата раскрытия не согласована в письменной форме, мы просим исследователей не раскрывать уязвимость публично, не публиковать материалы proof-of-concept и не передавать технические сведения, которые могут обоснованно облегчить её эксплуатацию, в течение 90 календарных дней с даты, когда 001K Bot подтвердит получение сообщения об уязвимости.

Если уязвимость устранена до истечения 90-дневного срока, мы можем согласовать с исследователем более раннее публичное раскрытие.

По истечении 90-дневного срока исследователь может публично раскрыть уязвимость без дополнительного согласования с 001K Bot при условии, что в остальном исследователь добросовестно старался соблюдать настоящую Политику.

Если для безопасного завершения устранения разумно необходимо дополнительное время, 001K Bot может запросить продление срока раскрытия. Любое продление должно быть взаимно согласовано с исследователем в письменной форме до истечения применимого срока раскрытия.

Просим исследователей по возможности согласовывать с нами публикацию заранее, чтобы статус устранения и оставшиеся риски были точно отражены в раскрытии.

Публичное раскрытие не должно включать персональные данные, KYC/AML-информацию, учётные данные аутентификации, приватные ключи, конфиденциальную информацию Пользователей или третьих лиц либо иную полученную в ходе тестирования информацию, которая не является разумно необходимой для описания уязвимости.

8. Безопасная гавань (Safe Harbor)

Исследования безопасности, проводимые добросовестно, в том числе когда исследователь добросовестно старается соблюдать настоящую Политику, считаются разрешёнными 001K Bot в той мере, в какой это прямо допускается настоящей Политикой.

В отношении исследований, проводимых добросовестно в рамках настоящей Политики, 001K Bot считает такую деятельность:

• разрешённой в соответствии с применимым законодательством о неправомерном использовании компьютеров и против взлома, включая, где применимо, Закон США о компьютерном мошенничестве и злоупотреблениях (CFAA) и аналогичные законы других юрисдикций;
• разрешённой для целей применимого законодательства о запрете обхода технических средств защиты, включая, где применимо, Раздел 1201 Закона США об авторском праве в цифровую эпоху (DMCA) и аналогичные законы других юрисдикций, и 001K Bot не будет предъявлять претензии исключительно в связи с обходом технических средств защиты в той мере, в какой это разумно необходимо для проведения исследований, разрешённых настоящей Политикой; и
• в ограниченном объёме освобождённой от действия положений наших Условий использования, которые в противном случае запрещали бы тестирование безопасности, обратную разработку или аналогичную деятельность, исключительно в той мере, в какой это разумно необходимо для проведения исследований, разрешённых настоящей Политикой.

Если исследователь добросовестно старается соблюдать настоящую Политику, 001K Bot не будет инициировать или поддерживать гражданские иски или уголовное преследование либо обращаться в правоохранительные органы исключительно в связи с исследованиями безопасности, проводимыми добросовестно в рамках настоящей Политики, включая случайное добросовестное нарушение настоящей Политики.

Если третье лицо инициирует судебное разбирательство против исследователя в связи с деятельностью, осуществлявшейся добросовестно в рамках настоящей Политики, 001K Bot, где это уместно и разрешено законом, примет разумные меры, чтобы сообщить, что исследование проводилось с нашего разрешения и что исследователь добросовестно старался соблюдать настоящую Политику.

Настоящая Безопасная гавань распространяется только на претензии и действия, находящиеся под контролем 001K Bot, и не связывает независимых третьих лиц или правоохранительные органы.

Безопасная гавань не распространяется на поведение, связанное с умышленным причинением вреда, вымогательством или угрозами, несанкционированным хранением, использованием или раскрытием данных Пользователей или Цифровых активов, кражей или присвоением Цифровых активов, умышленным нарушением работы Платформы, действиями, существенно превышающими то, что разумно необходимо для демонстрации уязвимости, или иным недобросовестным поведением.

Ничто в настоящей Политике не разрешает действия в отношении сторонних систем, сервисов или инфраструктуры, не входящих в рамки настоящей Политики.

Если вы не уверены, разрешено ли то или иное действие, просим связаться с [email protected] до его выполнения.

9. Вознаграждения и признание

В настоящее время 001K Bot не проводит платную программу bug bounty, и направление сообщения об уязвимости не создаёт права на оплату или иное вознаграждение.

Тем не менее мы можем по своему исключительному усмотрению предоставить денежное или иное вознаграждение за сообщения о значимых уязвимостях безопасности.

Где это уместно, мы также можем публично отметить исследователей, направивших действительные сообщения, при условии их согласия на такое признание.

Любое вознаграждение или признание является добровольным, определяется 001K Bot в каждом случае индивидуально и не создаёт обязательства предоставлять аналогичное вознаграждение за какие-либо текущие или будущие сообщения.

10. Изменения настоящей Политики

Мы можем время от времени обновлять настоящую Политику с учётом изменений нашей Платформы, практик безопасности или правовых и регуляторных требований.

Актуальная версия публикуется на веб-сайте 001K Bot вместе с датой последнего обновления.