Πρόγραμμα επιβράβευσης ευπαθειών της Tiquo
Δεχόμαστε αναφορές ευπαθειών που έχετε επιβεβαιώσει με χειροκίνητες δοκιμές. Οι ερευνητές ασφάλειας μάς βοηθούν να εντοπίζουμε και να αντιμετωπίζουμε προβλήματα στην πλατφόρμα.
Πώς λειτουργεί
Εντοπίζετε πιθανή ευπάθεια ασφάλειας σε προϊόν του Tiquo.
Υποβάλλετε λεπτομερή αναφορά στην ομάδα ασφαλείας μας.
Εξετάζουμε εσωτερικά την αναφορά εντός 24 ωρών· η επίσημη απάντηση μπορεί να ακολουθήσει αργότερα.
Η ομάδα διερευνά, αναπαράγει και ταξινομεί το πρόβλημα.
Σας ενημερώνουμε για την ταξινόμηση και το ποσό ανταμοιβής.
Η πληρωμή πραγματοποιείται εντός 30 ημερών από την ταξινόμηση.
Η Tiquo αξιολογεί κάθε αναφορά ξεχωριστά και καθορίζει τη σοβαρότητα και την ανταμοιβή με βάση τον πραγματικό αντίκτυπο, τη δυνατότητα εκμετάλλευσης και την έκταση του προβλήματος.
Καθώς λαμβάνουμε εκατοντάδες ψευδείς αναφορές που δημιουργούνται από τεχνητή νοημοσύνη, διατηρούμε το δικαίωμα να απορρίπτουμε ή να μην απαντάμε σε αναφορές που δεν παρέχουν πραγματικές ή χρήσιμες πληροφορίες.
Οι δοκιμές στο πλαίσιο του προγράμματος bug bounty σε λογαριασμούς της Tiquo σε περιβάλλον παραγωγής απαιτούν προηγούμενη γραπτή έγκριση από την Tiquo. Εάν προβείτε σε οποιαδήποτε δραστηριότητα που στοχεύει αυτούς τους λογαριασμούς χωρίς αυτή την έγκριση, δεν θα καταβληθεί καμία ανταμοιβή, ανεξάρτητα από τα ευρήματά σας.
Τι περιλαμβάνεται
Το πρόγραμμα καλύπτει τα παρακάτω:
- tiquo.co
- Endpoints του API του Tiquo
- Εφαρμογές Tiquo για iOS και Android
- Διαδικτυακή εφαρμογή και πίνακας διαχείρισης tiquo.app
- Ροές ταυτοποίησης και εξουσιοδότησης
- Διαδικασίες πληρωμών και χειρισμού δεδομένων
- Εξοπλισμός Tiquo
Τι δεν περιλαμβάνεται
Τα παρακάτω δεν δικαιούνται ανταμοιβή:
- Υπηρεσίες ή διασυνδέσεις τρίτων που δεν ανήκουν στην Tiquo
- Κοινωνική μηχανική ή phishing κατά εργαζομένων ή πελατών της Tiquo
- Επιθέσεις άρνησης υπηρεσίας (DoS/DDoS)
- Ανεπιθύμητα μηνύματα ή προβλήματα περιορισμού αιτημάτων χωρίς άμεσο αντίκτυπο στην ασφάλεια
- Μεμονωμένα έργα χωρίς ευαίσθητα δεδομένα ή στοιχεία πελατών
- Ευπάθειες που απαιτούν παρωχημένα προγράμματα περιήγησης ή πλατφόρμες
- Προβλήματα που έχουν ήδη αναφερθεί ή είναι ήδη γνωστά
- Αυτοματοποιημένες, υποθετικές ή παραγόμενες από AI αναφορές χωρίς λειτουργική απόδειξη που έχει επαληθευτεί χειροκίνητα
- Ελλείπουσες κεφαλίδες ασφαλείας, ακίνδυνα μηνύματα σφάλματος ή εσωτερικές λεπτομέρειες, clickjacking σε μη ευαίσθητες σελίδες, αποκάλυψη εκδόσεων, παρωχημένο λογισμικό χωρίς λειτουργικό exploit και θεωρητικά ευρήματα XSS ή CORS χωρίς αποδεδειγμένο αντίκτυπο στην ασφάλεια.
Επίπεδα ανταμοιβής
Μόνο αναπαραγώγιμες ευπάθειες με αποδεδειγμένο αντίκτυπο στην ασφάλεια δικαιούνται ανταμοιβή. Η σοβαρότητα εξαρτάται από τον αποδεδειγμένο αντίκτυπο και τη δυνατότητα εκμετάλλευσης, όχι από το όνομα της ευπάθειας ή τη βαθμολογία σαρωτή. Αναφορές χωρίς ουσιαστικό αντίκτυπο δεν πληρώνονται.
Αποδεδειγμένη παραβίαση βασικών συστημάτων παραγωγής με εκτεταμένο αντίκτυπο.
Αποδεδειγμένα λειτουργικό exploit με σημαντικό αντίκτυπο στην ασφάλεια.
Εκμεταλλεύσιμα προβλήματα με ουσιαστικό αλλά περιορισμένο αντίκτυπο. Υψηλότερες ανταμοιβές απαιτούν αποδεδειγμένο Υψηλό ή Κρίσιμο αντίκτυπο.
Μικρές, αναπαραγώγιμες ευπάθειες με περιορισμένο αλλά αποδείξιμο αντίκτυπο στην ασφάλεια.
Πρόσθετες ανταμοιβές
Μπορεί να δοθεί πρόσθετη ανταμοιβή για ιδιαίτερα σαφείς αναφορές, ευρήματα με ευρύ αντίκτυπο, δημιουργικούς συνδυασμούς επιθέσεων ή στενή συνεργασία στην αποκατάσταση.
Οδηγίες υποβολής
Για να διερευνήσουμε γρήγορα το πρόβλημα, συμπεριλάβετε:
- 1Σαφή περιγραφή της ευπάθειας
- 2Αναλυτικά βήματα αναπαραγωγής
- 3Το URL, το endpoint ή την οθόνη που επηρεάζεται
- 4Το περιβάλλον δοκιμής, πρόγραμμα περιήγησης, λειτουργικό σύστημα και συσκευή
- 5Στιγμιότυπα οθόνης ή κώδικα που αποδεικνύει το πρόβλημα, όπου είναι δυνατό
- 6Την εκτίμησή σας για τον πιθανό αντίκτυπο
Υποβάλετε μία ευπάθεια ανά αναφορά και ξεχωριστή αναφορά για κάθε διαφορετικό πρόβλημα.
Κανόνες συμμετοχής
- 1Μην αποκτάτε πρόσβαση, τροποποιείτε ή διαγράφετε δεδομένα άλλων χρηστών.
- 2Μην εκτελείτε αυτοματοποιημένους σαρωτές σε συστήματα παραγωγής χωρίς προηγούμενη γραπτή έγκριση.
- 3Μην δημοσιοποιείτε ποτέ ευπάθεια, αναφορά, απόδειξη ή σχετικές λεπτομέρειες.
- 4Μην χρησιμοποιείτε AI ή γλωσσικά μοντέλα για τη σύνταξη της αναφοράς. Θέλουμε πρωτότυπη έρευνα βασισμένη στις δικές σας χειροκίνητες δοκιμές· υποθετικές και μη επαληθευμένες αναφορές απορρίπτονται.
- 5Ενεργείτε πάντα καλόπιστα.
Προστασία ερευνητών
Οι ερευνητές που ενεργούν καλόπιστα και τηρούν τους κανόνες δεν θα αντιμετωπίσουν νομικές ενέργειες από την Tiquo. Το πρόγραμμα προσφέρεται κατά την κρίση της Tiquo· μπορούμε να αλλάξουμε ή να τερματίσουμε τους όρους και οι αποφάσεις μας είναι οριστικές.
Επικοινωνία
Στείλτε τις αναφορές σας στο:
security@tiquo.coΚάθε αναφορά εξετάζεται εσωτερικά εντός 24 ωρών. Η επίσημη απάντηση μπορεί να καθυστερήσει· αναμένετε αρχική αξιολόγηση εντός 10 εργάσιμων ημερών και μην στέλνετε επαναληπτικά μηνύματα.