Zakres testów
- Testuję wyłącznie systemy własne, hostowane w izolowanym laboratorium lub wyraźnie autoryzowane przez właściciela na piśmie.
- Zakres i czas każdego testu są uzgadniane przed jego rozpoczęciem — nigdy nie rozszerzam ich w trakcie.
- Nie kopiuję ani nie przechowuję danych produkcyjnych poza tym, co jest ściśle niezbędne do wykazania problemu.
- Ustalenia zgłaszam najpierw prywatnie twórcy, z rozsądnym okresem na naprawę przed publikacją.
Oświadczenie safe harbor
Prowadzę research w dobrej wierze, unikam naruszania prywatności i zakłócania działania usług, a podatności nie wykorzystuję szerzej niż to konieczne do jej wykazania. Nie testuję systemów produkcyjnych bez autoryzacji i nie publikuję PoC, dopóki poprawka pozostaje w toku.
Jeśli jesteś twórcą oprogramowania i uważasz, że ten research Cię dotyczył, albo chcesz, aby jakieś ustalenie zostało usunięte lub poprawione — napisz, zareaguję natychmiast.
Przechowywanie i obsługa danych
Dane zbierane w trakcie researchu trzymam na zaszyfrowanym, lokalnym nośniku. Wszystko, co zawiera rzeczywiste dane użytkowników, usuwam niezwłocznie po przyjęciu raportu, a żaden zebrany zbiór danych nie jest przekazywany osobom trzecim.
Współpraca z CNA
Do każdego zgłoszenia mogę dostarczyć:
- poprawny schematycznie rekord JSON w formacie CVE 5.0 wygenerowany wprost ze strony doradztwa,
- pełny opis techniczny z reprodukcją krok po kroku,
- wektor CVSS 3.1 wraz z uzasadnieniem oceny,
- zakresy wersji podatnych i naprawionych,
- potwierdzenie retestu po wydaniu poprawki.
Oczekiwane terminy
| Etap | Typowy termin |
|---|---|
| Potwierdzenie otrzymania zgłoszenia | do 7 dni |
| Triage i potwierdzenie | do 30 dni |
| Wydanie poprawki | uzgadniane, domyślnie 90 dni |
| Publiczne ujawnienie | po wydaniu poprawki lub 90 dni od zgłoszenia |
Kontakt
Korespondencję dotyczącą bezpieczeństwa kieruj na adres w stopce lub dedykowanym kanałem, jeśli taki został opublikowany. Chętnie podpiszę umowę o poufności, jeśli twórca wymaga jej przed przekazaniem szczegółów.