Політика розкриття вразливостей

001K Bot серйозно ставиться до безпеки своєї Платформи, систем, користувачів і Цифрових активів користувачів. Ми цінуємо роботу дослідників безпеки, які допомагають нам виявляти та усувати потенційні вразливості.

Якщо ви вважаєте, що виявили вразливість безпеки, яка стосується 001K Bot, просимо повідомити нам про неї відповідно до цієї Політики розкриття вразливостей (далі — «Політика»).

Проводячи дослідження безпеки, пов'язані з Платформою, ви погоджуєтеся дотримуватися цієї Політики та застосовних Умов використання, за винятком випадків, коли ця Політика прямо дозволяє дії, які інакше обмежувалися б Умовами використання.

1. Як повідомити про вразливість

Просимо повідомляти про ймовірні вразливості безпеки електронною поштою на адресу [email protected].

Для повідомлень, що містять конфіденційну інформацію, рекомендуємо шифрувати листування за допомогою нашого відкритого PGP-ключа:

PGP-ключ:

https://001k.bot/.well-known/security-pubkey.asc

Відбиток:

FA18 D018 8275 CD97 BC0F 114A B868 16AE 1024 772F

Щоб допомогти нам ефективно розслідувати ваше повідомлення, зазначте, де застосовно:

• уражений URL, ендпоінт, застосунок або компонент;
• чіткий опис вразливості;
• кроки, необхідні для відтворення проблеми;
• потенційний або продемонстрований вплив на безпеку;
• відповідні скриншоти, логи, запити чи іншу технічну інформацію;
• ID облікового запису або ID API-ключа, використаного під час тестування, де це доречно (ніколи не передавайте API-секрети, паролі, приватні ключі, seed-фрази чи інші секрети автентифікації); та
• ваші контактні дані, якщо ви бажаєте, щоб ми зв'язалися з вами щодо повідомлення.

Просимо не повідомляти про вразливості через публічні канали, соціальні мережі чи службу підтримки. Про вразливості безпеки слід повідомляти виключно через зазначений вище спеціальний контакт з питань безпеки.

2. Наші зобов'язання

Щодо повідомлень, надісланих відповідно до цієї Політики, ми прагнемо:

• підтвердити отримання повідомлення протягом 2 робочих днів;
• надати первинну оцінку протягом 5 робочих днів, де це розумно здійсненно;
• інформувати автора повідомлення про суттєві зміни під час розслідування та усунення, де це доречно;
• узгоджувати з автором повідомлення відповідальне розкриття підтверджених вразливостей, якщо публічне розкриття доречне; та
• публічно відзначати внесок автора повідомлення, якщо він про це просить і це доречно.

Якщо інше не узгоджено з автором повідомлення в письмовій формі, ми прагнемо розслідувати та усунути підтверджені вразливості протягом строку відповідального розкриття, встановленого в Розділі 7 цієї Політики.

Строки усунення можуть відрізнятися залежно від складності, критичності та масштабу вразливості. Будь-яка зміна строків усунення сама по собі не продовжує строк відповідального розкриття, встановлений у Розділі 7.

3. Системи в межах Політики

Ця Політика застосовується до досліджень безпеки таких систем і сервісів, що експлуатуються 001K Bot або від його імені:

• Вебзастосунок — app.001k.bot;
• Вебсайт — 001k.bot;
• Публічний API — api.001k.world, включно з /api/v1, запитами з HMAC-підписом і колбеками мерчантів;
• Офіційний Telegram-бот 001K Bot і Mini App, на які ведуть посилання з 001k.bot; та
• 001k-cli і skill, що входить до його складу.

Нас особливо цікавлять вразливості, які можуть призвести до:

• несанкціонованого доступу до облікового запису, балансу чи даних іншого користувача;
• несанкціонованого виведення, переказів, обмінів (свопів) чи іншого переміщення Цифрових активів;
• обходу двофакторної автентифікації (2FA), додаткової (step-up) автентифікації, підтвердження транзакцій чи засобів захисту адрес виведення;
• обходу автентифікації API, перевірки підпису чи захисту від повторного відтворення запитів (replay);
• несанкціонованої зміни балансів, транзакцій чи комісій;
• несанкціонованого доступу до даних KYC, AML, персональних чи інших конфіденційних даних або їх розкриття;
• підвищення привілеїв чи обходу автентифікації/авторизації;
• серверних ін'єкцій;
• підробки серверних запитів (Server-Side Request Forgery, SSRF);
• віддаленого виконання коду (Remote Code Execution, RCE); або
• інших вразливостей, здатних суттєво вплинути на конфіденційність, цілісність чи доступність Платформи або активів користувачів.

4. Системи та знахідки поза межами Політики

До меж цієї Політики не входять:

• вразливості, що стосуються сторонніх сервісів чи інфраструктури, які не контролюються 001K Bot, включно з власними системами та інфраструктурою Telegram, сторонніми біржами, KYC/AML-провайдерами та Cloudflare; водночас вразливості, що стосуються самого офіційного Telegram-бота 001K Bot чи Mini App, залишаються в межах Політики, як передбачено Розділом 3. Про вразливості сторонніх систем слід повідомляти безпосередньо відповідному провайдеру;
• тестування на відмову в обслуговуванні (DoS/DDoS), стрес-, навантажувальне чи об'ємне тестування;
• соціальна інженерія, фішинг, видавання себе за іншу особу чи інші атаки на працівників, підрядників, партнерів або користувачів;
• фізичні атаки на офіси, інфраструктуру, персонал чи обладнання; та
• знахідки, що не демонструють значущого впливу на безпеку.

Приклади знахідок, які, як правило, не вважаються вразливостями безпеки:

• відсутність заголовків безпеки чи атрибутів cookie без продемонстрованого впливу;
• клікджекінг на сторінках, що не виконують чутливих дій;
• self-XSS;
• банери із зазначенням програмного забезпечення чи версій без продемонстрованої експлуатованої вразливості;
• зауваження щодо налаштування SPF, DKIM чи DMARC без продемонстрованого впливу на безпеку;
• зауваження щодо обмеження частоти запитів (rate limiting) для нечутливої функціональності; та
• результати автоматичних сканерів без доказів експлуатованого впливу на безпеку.

5. Правила проведення досліджень

Проводячи дослідження безпеки в межах цієї Політики, ви зобов'язані:

• тестувати лише облікові записи, API-ключі, гаманці та інші ресурси, які належать вам або які ви прямо уповноважені використовувати;
• не здійснювати навмисно доступ до даних чи Цифрових активів іншого користувача, не отримувати, не змінювати, не видаляти, не розкривати, не переказувати їх та іншим чином не втручатися в них;
• негайно припинити тестування, якщо ви випадково отримали доступ до даних, облікового запису чи Цифрових активів іншого користувача, і повідомити нам про проблему, не зберігаючи, не копіюючи, не завантажуючи таку інформацію і не звертаючись до неї повторно;
• використовувати лише мінімальний рівень доступу та активності, розумно необхідний для демонстрації вразливості;
• не експлуатувати вразливість понад те, що розумно необхідно для підтвердження її наявності та впливу на безпеку;
• не намагатися закріпитися в системі чи зберігати несанкціонований доступ до будь-якої системи;
• не впроваджувати шкідливе ПЗ, програми-вимагачі, бекдори, руйнівний код чи інше шкідливе програмне забезпечення;
• підтримувати низьку та розумну інтенсивність автоматичного тестування і стежити за тим, щоб ваше тестування суттєво не погіршувало роботу Платформи та не зачіпало інших користувачів;
• не проводити тестування на відмову в обслуговуванні, стрес-, навантажувальне чи об'ємне тестування;
• не використовувати для тестування ідентифікаційні дані чи KYC-документи іншої особи;
• зберігати конфіденційність інформації про вразливість протягом строку відповідального розкриття, встановленого в Розділі 7, і утримуватися від публічного розкриття протягом цього строку, якщо інше не узгоджено з нами в письмовій формі; та
• дотримуватися застосовного законодавства та цієї Політики протягом усього дослідження.

5.1. Тестування з використанням Цифрових активів

Вам слід уникати використання реальних Цифрових активів, за винятком випадків, коли це суворо необхідно для демонстрації вразливості.

Якщо тестування з використанням реальних Цифрових активів необхідне, за можливості зв'яжіться з нами за адресою [email protected] до його початку та використовуйте лише мінімальну суму, необхідну для демонстрації проблеми.

001K Bot не гарантує відшкодування Цифрових активів чи інших коштів, використаних, переказаних, втрачених або іншим чином зачеплених під час тестування безпеки, якщо відшкодування не було прямо погоджено нами в письмовій формі заздалегідь.

6. Захист даних користувачів

Дослідження безпеки мають проводитися так, щоб мінімізувати доступ до персональної, конфіденційної, KYC/AML-, фінансової чи транзакційної інформації.

Якщо ви випадково натрапили на інформацію, що належить іншому користувачу:

• негайно припиніть доступ до ураженої системи чи даних;
• не завантажуйте, не копіюйте, не зберігайте, не передавайте та іншим чином не використовуйте цю інформацію;
• надійно видаліть будь-яку випадково отриману інформацію, де застосовно; та
• негайно повідомте нас за адресою [email protected].

Повідомлення мають містити лише мінімальний обсяг користувацької чи конфіденційної інформації, необхідний нам для відтворення та розслідування вразливості.

7. Відповідальне розкриття

Просимо зберігати конфіденційність інформації про ймовірні чи підтверджені вразливості, поки ми розслідуємо та усуваємо проблему протягом описаного нижче строку відповідального розкриття.

Якщо раніша дата розкриття не узгоджена в письмовій формі, ми просимо дослідників не розкривати вразливість публічно, не публікувати матеріали proof-of-concept і не передавати технічні відомості, які можуть обґрунтовано полегшити її експлуатацію, протягом 90 календарних днів з дати, коли 001K Bot підтвердить отримання повідомлення про вразливість.

Якщо вразливість усунено до закінчення 90-денного строку, ми можемо узгодити з дослідником раніше публічне розкриття.

Після закінчення 90-денного строку дослідник може публічно розкрити вразливість без додаткового погодження з 001K Bot за умови, що в іншому дослідник добросовісно намагався дотримуватися цієї Політики.

Якщо для безпечного завершення усунення розумно необхідний додатковий час, 001K Bot може запросити продовження строку розкриття. Будь-яке продовження має бути взаємно погоджене з дослідником у письмовій формі до закінчення застосовного строку розкриття.

Просимо дослідників за можливості заздалегідь узгоджувати з нами публікацію, щоб статус усунення та залишкові ризики були точно відображені в розкритті.

Публічне розкриття не повинно включати персональні дані, KYC/AML-інформацію, облікові дані автентифікації, приватні ключі, конфіденційну інформацію Користувачів чи третіх осіб або іншу отриману під час тестування інформацію, яка не є розумно необхідною для опису вразливості.

8. Безпечна гавань (Safe Harbor)

Дослідження безпеки, що проводяться добросовісно, зокрема коли дослідник добросовісно намагається дотримуватися цієї Політики, вважаються дозволеними 001K Bot у тій мірі, в якій це прямо допускається цією Політикою.

Щодо досліджень, що проводяться добросовісно в межах цієї Політики, 001K Bot вважає таку діяльність:

• дозволеною відповідно до застосовного законодавства про неправомірне використання комп'ютерів і проти зламу, включно, де застосовно, із Законом США про комп'ютерне шахрайство та зловживання (CFAA) і аналогічними законами інших юрисдикцій;
• дозволеною для цілей застосовного законодавства про заборону обходу технічних засобів захисту, включно, де застосовно, з Розділом 1201 Закону США про авторське право в цифрову епоху (DMCA) і аналогічними законами інших юрисдикцій, і 001K Bot не пред'являтиме претензій виключно у зв'язку з обходом технічних засобів захисту в тій мірі, в якій це розумно необхідно для проведення досліджень, дозволених цією Політикою; та
• в обмеженому обсязі звільненою від дії положень наших Умов використання, які інакше забороняли б тестування безпеки, зворотну розробку чи аналогічну діяльність, виключно в тій мірі, в якій це розумно необхідно для проведення досліджень, дозволених цією Політикою.

Якщо дослідник добросовісно намагається дотримуватися цієї Політики, 001K Bot не ініціюватиме і не підтримуватиме цивільних позовів чи кримінального переслідування і не звертатиметься до правоохоронних органів виключно у зв'язку з дослідженнями безпеки, що проводяться добросовісно в межах цієї Політики, включно з випадковим добросовісним порушенням цієї Політики.

Якщо третя особа ініціює судове провадження проти дослідника у зв'язку з діяльністю, що здійснювалася добросовісно в межах цієї Політики, 001K Bot, де це доречно та дозволено законом, вживе розумних заходів, щоб повідомити, що дослідження проводилося з нашого дозволу і що дослідник добросовісно намагався дотримуватися цієї Політики.

Ця Безпечна гавань поширюється лише на претензії та дії, що перебувають під контролем 001K Bot, і не зобов'язує незалежних третіх осіб чи правоохоронні органи.

Безпечна гавань не поширюється на поведінку, пов'язану з умисним заподіянням шкоди, вимаганням чи погрозами, несанкціонованим зберіганням, використанням чи розкриттям даних Користувачів або Цифрових активів, крадіжкою чи привласненням Цифрових активів, умисним порушенням роботи Платформи, діями, що суттєво перевищують те, що розумно необхідно для демонстрації вразливості, чи іншою недобросовісною поведінкою.

Ніщо в цій Політиці не дозволяє дій щодо сторонніх систем, сервісів чи інфраструктури, що не входять до меж цієї Політики.

Якщо ви не впевнені, чи дозволена та чи інша дія, просимо зв'язатися з [email protected] до її виконання.

9. Винагороди та визнання

Наразі 001K Bot не проводить платної програми bug bounty, і надсилання повідомлення про вразливість не створює права на оплату чи іншу винагороду.

Проте ми можемо на власний розсуд надати грошову чи іншу винагороду за повідомлення про значущі вразливості безпеки.

Де це доречно, ми також можемо публічно відзначити дослідників, які надіслали дійсні повідомлення, за умови їхньої згоди на таке визнання.

Будь-яка винагорода чи визнання є добровільними, визначаються 001K Bot у кожному випадку індивідуально і не створюють зобов'язання надавати аналогічну винагороду за будь-які поточні чи майбутні повідомлення.

10. Зміни до цієї Політики

Ми можемо час від часу оновлювати цю Політику з урахуванням змін нашої Платформи, практик безпеки чи правових і регуляторних вимог.

Актуальна версія публікується на вебсайті 001K Bot разом із датою останнього оновлення.