Tiquo klaidų atlygio programa
Laukiame saugumo tyrėjų pranešimų apie rankiniu būdu patvirtintus Tiquo pažeidžiamumus. Toliau aprašyta, kaip pateikti radinį ir kada už jį mokamas atlygis.
Kaip tai veikia
Tiquo produkte randate galimą saugumo pažeidžiamumą.
Išsamų pranešimą siunčiate mūsų saugumo komandai.
Per 24 valandas jį peržiūrime viduje; oficialus atsakymas gali būti pateiktas vėliau.
Komanda problemą tiria, atkuria ir klasifikuoja.
Pranešame nustatytą sunkumo lygį ir atlygio sumą.
Atlygis išmokamas per 30 dienų nuo klasifikavimo.
Tiquo nustato pažeidžiamumo sunkumą ir atlygį įvertinusi tikrąjį poveikį, išnaudojimo galimybę bei mastą.
Kadangi gauname šimtus dirbtinio intelekto sugeneruotų klaidingų pranešimų, pasiliekame teisę atmesti pranešimus arba į juos neatsakyti, jei juose nepateikiama tikros ar vertingos informacijos.
Testavimui pagal atlygio už pažeidžiamumų aptikimą programą bet kurioje Tiquo paskyroje gamybinėje aplinkoje būtinas išankstinis raštiškas Tiquo leidimas. Jei be šio leidimo vykdysite bet kokią į šias paskyras nukreiptą veiklą, atlygis nebus mokamas, nepaisant jūsų radinių.
Kas patenka į programą
Programa apima:
- tiquo.co
- Tiquo API galiniai taškai
- Tiquo iOS ir Android mobiliosios programėlės
- tiquo.app žiniatinklio programa ir valdymo skydas
- Tapatybės patvirtinimo ir prieigos teisių suteikimo procesai
- Mokėjimų ir duomenų tvarkymas
- Tiquo aparatinė įranga
Kas nepatenka į programą
Už šiuos atvejus atlygis neskiriamas:
- Tiquo nepriklausančios trečiųjų šalių paslaugos ar integracijos
- Socialinė inžinerija ar duomenų viliojimas prieš Tiquo darbuotojus ar klientus
- Paslaugos trikdymo atakos (DoS/DDoS)
- Šlamštas ar užklausų ribojimas be tiesioginio saugumo poveikio
- Atskiri projektai be jautrių ar klientų duomenų
- Pažeidžiamumai, kuriems reikia pasenusios naršyklės ar platformos
- Jau praneštos ar mums žinomos problemos
- Automatiniai, spėjami ar AI sukurti pranešimai be rankiniu būdu patvirtinto veikiančio įrodymo
- Trūkstamos saugumo antraštės, nekenksmingi klaidų pranešimai ar vidinės detalės, paspaudimų užgrobimas nejautriuose puslapiuose, versijų atskleidimas, pasenusi programinė įranga be veikiančio išnaudojimo būdo ir teoriniai XSS ar CORS radiniai be įrodyto poveikio saugumui.
Atlygio lygiai
Atlygiui tinkamos tik atkuriamos spragos, kurių poveikis saugumui įrodytas. Svarba priklauso nuo įrodyto poveikio ir išnaudojamumo, o ne spragos pavadinimo ar skenerio įvertinimo. Už pranešimus be reikšmingo poveikio nemokama.
Įrodytas pagrindinių veikiančių sistemų pažeidimas, turintis platų poveikį.
Įrodytas veikiantis išnaudojimo būdas, turintis reikšmingą poveikį saugumui.
Išnaudojamos problemos, turinčios reikšmingą, bet ribotą poveikį. Didesniam atlygiui būtinas įrodytas didelis arba kritinis poveikis.
Nedidelės, atkuriamos spragos, kurių poveikis saugumui mažas, bet įrodomas.
Papildomi atlygiai
Už ypač aiškų pranešimą, plačiai veikiančią spragą, išradingą atakos grandinę ar pagalbą taisant problemą galime skirti papildomą atlygį.
Pranešimo gairės
Kad galėtume greičiau ištirti pranešimą, pateikite šią informaciją:
- 1Aiškų pažeidžiamumo aprašymą
- 2Nuoseklius problemos atkūrimo veiksmus
- 3Paveiktą URL, API galinį tašką ar programos ekraną
- 4Bandymo aplinką, naršyklę, operacinę sistemą ir įrenginį
- 5Jei įmanoma, ekrano nuotraukas ar pažeidžiamumą įrodantį kodą
- 6Galimo poveikio vertinimą
Viename pranešime pateikite vieną pažeidžiamumą, o skirtingas problemas siųskite atskirai.
Dalyvavimo taisyklės
- 1Nepasiekite, nekeiskite ir netrinkite kitų naudotojų duomenų.
- 2Be išankstinio rašytinio leidimo nenaudokite automatinių pažeidžiamumų paieškos įrankių veikiančiose sistemose.
- 3Niekada viešai neatskleiskite pažeidžiamumo, pranešimo, įrodymo ar susijusių detalių.
- 4Pranešimui rašyti nenaudokite AI ar kalbos modelių. Laukiame originalaus tyrimo, paremto jūsų rankiniais bandymais; spėjami ir nepatvirtinti pranešimai atmetami.
- 5Visada veikite sąžiningai.
Tyrėjų apsauga
Sąžiningai veikiantiems ir taisyklių besilaikantiems tyrėjams Tiquo netaikys teisinių veiksmų. Programa vykdoma Tiquo nuožiūra; galime ją keisti ar nutraukti, o mūsų sprendimai yra galutiniai.
Kontaktai
Pranešimus siųskite adresu:
security@tiquo.coKiekvieną pranešimą peržiūrime viduje per 24 valandas. Oficialus atsakymas gali užtrukti; pirminį vertinimą pateiksime per 10 darbo dienų. Nesiųskite priminimų apie būseną.