[Belangrijke Beveiliging Mededeling] Nep-Qfinder Pro-websites gedetecteerd. Meer informatie >
Search

Security Bounty-programma

QNAP richt zich zonder compromissen op informatiebeveiliging en werkt samen met de beveiligingsonderzoeksgemeenschap om kwetsbaarheden te identificeren en te repareren om onze gebruikers, producten en het internet veiliger te maken. Om degenen die hieraan hebben bijgedragen te bedanken, biedt QNAP beloningen aan via ons beveiligingsprogramma.

Bevestiging

Omvang van het programma

Het Bounty-programma accepteert alleen Beveiliging kwetsbaarheidsrapporten die betrekking hebben op QNAP-producten en webdiensten. Alle Beveiliging rapporten die buiten de scope van dit programma vallen, komen niet in aanmerking voor beloningen. Dit programma accepteert of beloont geen Beveiliging kwetsbaarheden die zijn gevonden in software van derden (bijv. 3rd Party QPKG). Als u Beveiliging problemen ontdekt in dergelijke software, neem dan rechtstreeks contact op met de betreffende leveranciers of ontwikkelaars.

Hoe kan ik de kwetsbaarheid melden en een beloning ontvangen?

Gebruik de onderstaande openbare PGP-coderingssleutel om uw e-mail te coderen en te verzenden naar security@qnap.com. We nemen zo snel mogelijk contact met u op.

Indeling van het kwetsbaarheidrapport

PGP-coderingssleutel

Kopieer de PGP-coderingssleutel
Een kwetsbaarheid melden

Kwalificaties voor beloning

  • U moet de eerste onderzoeker zijn die de kwetsbaarheden meldt.

  • U mag geen bestanden en/of details met betrekking tot het beveiligingslek openbaar hebben gedeeld. Dit geldt ook voor uploads naar openbaar toegankelijke websites.

  • Het QNAP PSIRT-team heeft bevestigd dat het gemelde beveiligingslek verifieerbaar, repliceerbaar en een geldig beveiligingsprobleem is.

  • U gaat akkoord met alle voorwaarden van het security bounty-programma.

De beloning kan worden verhoogd op basis van:

  • Integriteit van indeling: Houd u aan de voorbeelden van indelingen en geef gedetailleerde informatie bij het melden van beveiligingslekken in besturingssystemen, toepassingen of cloudservices. Voorbeelden van indelingen: Besturingssystemen, Toepassingen, Cloud Services.

  • Stappen om te reproduceren: Laat zien hoe u de beveiligingslekken kunt reproduceren.

  • Probleembeschrijvingen: Geef een duidelijke en beknopte presentatie van uw probleemoplossing en aanpak.

  • Overige ondersteunende informatie: Voeg testcode, scripts en alles wat nodig is voor uw uitleg toe.

  • Ruwe gegevens van aanvallen (payload exploiteren): Een rapport in tekstvorm is vereist om de gegevensintegriteit te waarborgen. Kwetsbaarheidsbeoordelingen kunnen niet voldoen aan de verwachtingen van QNAP PSIRT wanneer de netwerk payloads alleen in afbeeldingen werden verstrekt.

Bevestiging

Wij danken alle onderzoekers oprecht voor hun expertise en toewijding.

Veelgestelde vragen

De beloning wordt bepaald door de complexiteit van het succesvol benutten van de kwetsbaarheid, de potentiële blootstelling en het percentage gebruikers en systemen waarop deze invloed heeft.

Als video's het voor ons gemakkelijker maken te begrijpen hoe kwetsbaarheden worden misbruikt, kan het QNAP-awardcomité de beloning verhogen. Hou er rekening mee dat er nog steeds schriftelijke documentatie moet worden verstrekt (bijvoorbeeld productinformatie, een samenvatting van de kwetsbaarheden en de stappen om te reproduceren), omdat dit helpt bij het beheren van het proces voor het vrijgeven van kwetsbaarheden.

Een kwetsbaarheidrapport moet ten minste de volgende informatie bevatten: de productnaam, versie en build-nummer waar het beveiligingslek bestaat, of de URL-locatie voor cloudservices.
Het moet ook een samenvatting bevatten van de potentiële bedreigingen die door de kwetsbaarheid worden veroorzaakt, samen met duidelijk gedetailleerde replicatiestappen. Bovendien kan het rapport vergezeld gaan van een video waarin de kwetsbaarheid wordt gedemonstreerd.

Gebruik de PGP-sleutel geleverd door QNAP om het rapport te coderen en te verzenden naar security@qnap.com. Het systeem reageert automatisch met een nummer voor technische ondersteuning, dat u kunt gebruiken om te informeren over de voortgang van de evaluatie. Het PSIRT-team van QNAP zal proactief contact met u opnemen om de integriteit van de ingediende informatie te bevestigen. Als alle vereiste informatie is verstrekt, ontvangt de onderzoeker binnen een week een bevestigingsbrief over de QNAP PSIRT-kwetsbaarheid. De brief bevat de toegewezen CVE-ID voor het gemelde beveiligingsprobleem. Het prijsvoorstel wordt vier weken na de datum van de bevestigingsbrief voor de kwetsbaarheid per e-mail opgestuurd. Als de onderzoeker het hiermee eens is, wordt verwacht dat QNAP de betaling 12 weken na ontvangst van de bevestigingsreactie zal verrichten.

Abonneer u op QNAP eNews om het laatste nieuws over productbeveiliging te ontvangen

Neem nu een abonnement Een diepgaand beveiligingsadvies

Kies specificatie

      Toon meer Minder
      Deze website in andere landen/regio's:
      open menu
      back to top