Tiquov program nagrad za varnostne napake
Varnostni raziskovalci nam pomagajo odkrivati ranljivosti. Sprejemamo odgovorne prijave, ki temeljijo na ročnem preverjanju.
Kako deluje
V izdelku Tiquo najdete možno varnostno ranljivost.
Naši varnostni ekipi pošljete podrobno prijavo.
Prijavo interno pregledamo v 24 urah; uradni odgovor lahko sledi pozneje.
Ekipa težavo preišče, ponovi opisane korake in oceni resnost.
Obvestimo vas o razvrstitvi in višini nagrade.
Plačilo izvedemo v 30 dneh po razvrstitvi.
Tiquo določi resnost in nagrado po ločeni presoji dejanskega vpliva, možnosti izrabe in obsega.
Prejemamo na stotine lažnih poročil, ustvarjenih z umetno inteligenco. Poročila, ki ne vsebujejo resničnih ali uporabnih informacij, lahko zavrnemo ali nanje ne odgovorimo.
Testiranje v okviru programa nagrajevanja za odkrivanje ranljivosti na produkcijskih računih Tiquo zahteva predhodno pisno odobritev podjetja Tiquo. Če brez te odobritve izvajate kakršno koli dejavnost, usmerjeno na te račune, nagrada ne bo izplačana, ne glede na vaše ugotovitve.
Kaj je vključeno
Program zajema:
- tiquo.co
- Končne točke API-ja Tiquo
- Mobilni aplikaciji Tiquo za iOS in Android
- Spletna aplikacija in nadzorna plošča tiquo.app
- Postopki preverjanja pristnosti in pooblastil
- Obdelava plačil in podatkov
- Strojna oprema Tiquo
Kaj ni vključeno
Naslednji primeri niso upravičeni do nagrade:
- Storitve ali integracije tretjih oseb, ki niso v lasti Tiqua
- Socialni inženiring ali phishing proti zaposlenim ali strankam Tiqua
- Napadi zavrnitve storitve (DoS/DDoS)
- Neželena pošta ali težave z omejevanjem števila zahtev brez neposrednega varnostnega vpliva
- Ločeni projekti brez občutljivih podatkov ali podatkov strank
- Ranljivosti, ki zahtevajo zastarele brskalnike ali platforme
- Že prijavljene ali nam znane težave
- Samodejne, špekulativne ali z AI ustvarjene prijave brez ročno potrjenega delujočega dokaza
- Manjkajoče varnostne glave, neškodljiva sporočila o napakah ali notranje podrobnosti, ugrabitev klikov na neobčutljivih straneh, razkritje različic, zastarela programska oprema brez delujočega načina izkoriščanja ter teoretične ugotovitve XSS ali CORS brez dokazanega vpliva na varnost.
Stopnje nagrad
Nagradimo samo ranljivosti, ki jih je mogoče ponoviti in imajo dokazan vpliv na varnost. Resnost ocenjujemo po vplivu in možnosti izkoriščanja, ne po imenu ranljivosti ali oceni pregledovalnika. Za poročila brez pomembnega vpliva ne izplačamo nagrade.
Dokazana ogrozitev ključnih produkcijskih sistemov z obsežnim vplivom.
Dokazano delujoč način izkoriščanja z znatnim vplivom na varnost.
Izkoristljive težave s pomembnim, vendar omejenim vplivom. Višje nagrade zahtevajo dokazan visok ali kritičen vpliv.
Manjše, ponovljive ranljivosti z majhnim, a dokazljivim vplivom na varnost.
Dodatne nagrade
Dodatno nagrado lahko dodelimo za posebej jasno prijavo, širok vpliv, domiselno povezavo več ranljivosti ali tesno sodelovanje pri odpravi.
Navodila za prijavo
Da bomo lahko težavo preiskali, vključite:
- 1Jasen opis ranljivosti
- 2Navodila za ponovitev po korakih
- 3Prizadeti URL, končna točka ali zaslon
- 4Testno okolje, brskalnik, sistem in naprava
- 5Če je mogoče, posnetke zaslona ali kodo za dokaz ranljivosti
- 6Vaša ocena možnega vpliva
V eni prijavi navedite eno ranljivost, različne težave pa pošljite ločeno.
Pravila sodelovanja
- 1Ne dostopajte do podatkov drugih uporabnikov, jih ne spreminjajte in ne brišite.
- 2Brez predhodnega pisnega dovoljenja ne zaganjajte samodejnih pregledovalnikov proti produkcijskim sistemom.
- 3Nikoli javno ne razkrijte ranljivosti, prijave, dokaza ali povezanih podrobnosti.
- 4Za pisanje prijave ne uporabljajte AI ali jezikovnih modelov. Želimo izvirno raziskavo na podlagi vašega ročnega testiranja; špekulativne in nepotrjene prijave bodo zavrnjene.
- 5Vedno ravnajte v dobri veri.
Zaščita raziskovalcev
Tiquo ne bo pravno ukrepal proti raziskovalcem, ki ravnajo v dobri veri in upoštevajo pravila. Program poteka po presoji Tiqua; lahko ga spremenimo ali končamo, naše odločitve pa so dokončne.
Stik
Prijave pošljite na:
security@tiquo.coVsako prijavo interno pregledamo v 24 urah. Uradni odgovor lahko traja dlje; prvo oceno pričakujte v 10 delovnih dneh. Ne pošiljajte opomnikov o stanju.