Search

Security Bounty-programma

QNAP richt zich zonder compromissen op informatiebeveiliging en werkt samen met de beveiligingsonderzoeksgemeenschap om kwetsbaarheden te identificeren en te repareren om onze gebruikers, producten en het internet veiliger te maken. Om degenen die hieraan hebben bijgedragen te bedanken, biedt QNAP beloningen aan via ons beveiligingsprogramma.

Omvang van het programma

Ons Security Bounty-programma accepteert alleen beveiligingslekken in QNAP-producten en -services. Beveiligingslekken die buiten het bereik vallen, komen niet in aanmerking voor een beloning, met uitzonderingen van rapporten die buiten het bereik vallen van kritieke beveiligingslekken, afhankelijk van de situatie.

Hoe kan ik de kwetsbaarheid melden en een beloning ontvangen?

Gebruik de onderstaande openbare PGP-coderingssleutel om uw e-mail te coderen en te verzenden naar security@qnap.com. We nemen zo snel mogelijk contact met u op.

Indeling van het kwetsbaarheidrapport

PGP-coderingssleutel

Kopieer de PGP-coderingssleutel
Een kwetsbaarheid melden

Kwalificaties voor beloning

  • U moet de eerste onderzoeker zijn die de kwetsbaarheden meldt.

  • U mag geen bestanden en/of details met betrekking tot het beveiligingslek openbaar hebben gedeeld. Dit geldt ook voor uploads naar openbaar toegankelijke websites.

  • Het QNAP PSIRT-team heeft bevestigd dat het gemelde beveiligingslek verifieerbaar, repliceerbaar en een geldig beveiligingsprobleem is.

  • U gaat akkoord met alle voorwaarden van het security bounty-programma.

De beloning kan worden verhoogd op basis van:

  • Integriteit van indeling: Houd u aan de voorbeelden van indelingen en geef gedetailleerde informatie bij het melden van beveiligingslekken in besturingssystemen, toepassingen of cloudservices. Voorbeelden van indelingen: Besturingssystemen, Toepassingen, Cloud Services.

  • Stappen om te reproduceren: Laat zien hoe u de beveiligingslekken kunt reproduceren.

  • Probleembeschrijvingen: Geef een duidelijke en beknopte presentatie van uw probleemoplossing en aanpak.

  • Overige ondersteunende informatie: Voeg testcode, scripts en alles wat nodig is voor uw uitleg toe.

  • Ruwe gegevens van aanvallen (payload exploiteren): Een rapport in tekstvorm is vereist om de gegevensintegriteit te waarborgen. Kwetsbaarheidsbeoordelingen kunnen niet voldoen aan de verwachtingen van QNAP PSIRT wanneer de netwerk payloads alleen in afbeeldingen werden verstrekt.

Veelgestelde vragen

De beloning wordt bepaald door de complexiteit van het succesvol benutten van de kwetsbaarheid, de potentiële blootstelling en het percentage gebruikers en systemen waarop deze invloed heeft.

Als video's het voor ons gemakkelijker maken te begrijpen hoe kwetsbaarheden worden misbruikt, kan het QNAP-awardcomité de beloning verhogen. Hou er rekening mee dat er nog steeds schriftelijke documentatie moet worden verstrekt (bijvoorbeeld productinformatie, een samenvatting van de kwetsbaarheden en de stappen om te reproduceren), omdat dit helpt bij het beheren van het proces voor het vrijgeven van kwetsbaarheden.

Een kwetsbaarheidrapport moet ten minste de volgende informatie bevatten: de productnaam, versie en build-nummer waar het beveiligingslek bestaat, of de URL-locatie voor cloudservices.
Het moet ook een samenvatting bevatten van de potentiële bedreigingen die door de kwetsbaarheid worden veroorzaakt, samen met duidelijk gedetailleerde replicatiestappen. Bovendien kan het rapport vergezeld gaan van een video waarin de kwetsbaarheid wordt gedemonstreerd.

Gebruik de PGP-sleutel geleverd door QNAP om het rapport te coderen en te verzenden naar security@qnap.com. Het systeem reageert automatisch met een nummer voor technische ondersteuning, dat u kunt gebruiken om te informeren over de voortgang van de evaluatie. Het PSIRT-team van QNAP zal proactief contact met u opnemen om de integriteit van de ingediende informatie te bevestigen. Als alle vereiste informatie is verstrekt, ontvangt de onderzoeker binnen een week een bevestigingsbrief over de QNAP PSIRT-kwetsbaarheid. De brief bevat de toegewezen CVE-ID voor het gemelde beveiligingsprobleem. Het prijsvoorstel wordt vier weken na de datum van de bevestigingsbrief voor de kwetsbaarheid per e-mail opgestuurd. Als de onderzoeker het hiermee eens is, wordt verwacht dat QNAP de betaling 12 weken na ontvangst van de bevestigingsreactie zal verrichten.

Abonneer u op QNAP eNews om het laatste nieuws over productbeveiliging te ontvangen

Neem nu een abonnement Een diepgaand beveiligingsadvies

Kies specificatie

      Toon meer Minder

      Deze website in andere landen/regio's:

      open menu
      back to top