Tiquo turvanõrkuste preemiaprogramm
Ootame turbeuurijatelt teateid käsitsi kontrollitud nõrkuste kohta. Kirjelda, kuidas viga korrata ja millist mõju see avaldab, ning järgi programmi tingimusi.
Kuidas see toimib
Leiad Tiquo tootest võimaliku turvanõrkuse.
Saadad meie turvameeskonnale üksikasjaliku teate.
Vaatame teate 24 tunni jooksul sisemiselt üle; ametlik vastus võib tulla hiljem.
Meeskond uurib probleemi, proovib seda korrata ja hindab selle raskusastet.
Teatame sulle liigituse ja preemia suuruse.
Makse tehakse 30 päeva jooksul pärast liigitamist.
Tiquo määrab raskusastme ja preemia iga teate tegeliku mõju, ärakasutatavuse ja ulatuse põhjal.
Saame sadu tehisintellektiga koostatud valeteateid. Võime tagasi lükata või vastuseta jätta teated, milles puudub sisuline teave või kontrollitav leid.
Tiquo tootmiskontodel testimiseks on vaja Tiquo eelnevat kirjalikku luba. Ilma loata nendele kontodele suunatud testimise eest preemiat ei maksta, olenemata leiust.
Mis kuulub ulatusse
Programm hõlmab järgmist:
- tiquo.co
- Tiquo API lõpp-punktid
- Tiquo iOS-i ja Androidi mobiilirakendused
- tiquo.app veebirakendus ja töölauarakendus
- Autentimine ja juurdepääsuõiguste kontroll
- Maksete ja andmete töötlemine
- Tiquo riistvara
Mis ei kuulu ulatusse
Järgmiste juhtumite eest preemiat ei maksta:
- Kolmanda poole teenused või lõimingud, mis ei kuulu Tiquole
- Tiquo töötajate või klientide vastu suunatud sotsiaalne manipulatsioon või andmepüük
- Teenusetõkestusründed (DoS/DDoS)
- Rämpsposti või päringupiiranguga seotud leiud, millel puudub otsene turvamõju
- Eraldiseisvad projektid, kus pole tundlikke ega kliendiandmeid
- Nõrkused, mis vajavad aegunud brauserit või platvormi
- Juba teatatud või meile teada probleemid
- Automaatselt või tehisintellektiga koostatud ja oletustel põhinevad teated, millel puudub käsitsi kontrollitud toimiv tõend
- Puuduvad turvapäised, kahjutud veateated või sisemised üksikasjad, klikikaaperdus mittetundlikel lehtedel, versiooniteave, aegunud tarkvara ilma töötava ärakasutamisviisita ning teoreetilised XSS-i või CORS-i leiud ilma tõendatud turvamõjuta.
Preemiatasemed
Preemiat saab korratava turvanõrkuse eest, mille turvamõju on tõendatud. Raskusaste sõltub mõjust ja ärakasutatavusest, mitte nõrkuse nimetusest või skanneri hinnangust. Olulise turvamõjuta teadete eest tasu ei maksta.
Peamiste tootmissüsteemide tõendatud kompromiteerimine laialdase mõjuga.
Tõendatult töötav ärakasutamisviis olulise turvamõjuga.
Ärakasutatavad probleemid olulise, kuid piiratud mõjuga. Suuremad preemiad nõuavad tõendatud kõrget või kriitilist mõju.
Väiksemad, korratavad haavatavused väikese, kuid tõendatava turvamõjuga.
Lisapreemiad
Eriti selge teade, ulatuslik mõju, leidlik ründeahel või tihe koostöö vea parandamisel võib anda aluse märgitud vahemikust suuremale preemiale.
Teate esitamise juhised
Teate uurimise hõlbustamiseks lisa:
- 1Turvanõrkuse selge kirjeldus
- 2Täpsed juhised vea kordamiseks
- 3Mõjutatud URL, lõpp-punkt või rakenduse kuva
- 4Testikeskkond, brauser, operatsioonisüsteem ja seade
- 5Võimaluse korral kuvatõmmised või näidiskood
- 6Sinu hinnang võimalikule mõjule
Esita igas teates üks nõrkus. Erinevate probleemide kohta saada eraldi teated.
Osalemisreeglid
- 1Ära ava, muuda ega kustuta teiste kasutajate andmeid.
- 2Ära käivita tootmissüsteemide vastu automaatseid skannereid ilma Tiquo eelneva kirjaliku loata.
- 3Ära avalikusta kunagi nõrkust, teadet, tõendit ega seotud üksikasju.
- 4Ära kasuta teate koostamiseks AI-d ega keelemudeleid. Ootame sinu enda käsitsi testidel põhinevat algupärast uurimistööd; oletuslikud ja kontrollimata teated lükatakse tagasi.
- 5Tegutse alati heas usus.
Turbeuurijate kaitse
Heas usus tegutsevate ja reegleid järgivate uurijate suhtes ei algata Tiquo õiguslikke samme. Programm toimub Tiquo äranägemisel; võime tingimusi muuta või programmi lõpetada ning meie otsused on lõplikud.
Kontakt
Saada teated aadressile:
security@tiquo.coVaatame iga teate 24 tunni jooksul sisemiselt üle. Ametlik vastus võib võtta kauem; esmane hinnang tuleb 10 tööpäeva jooksul. Palun ära saada staatust küsivaid kordusteateid.