[Ważna informacja Zabezpieczenia] Wykryto fałszywe strony Qfinder Pro. Dowiedz się więcej >
Search

Program Security Bounty

Firma QNAP bezkompromisowo angażuje się w sprawy bezpieczeństwa informacji i współpracuje ze społecznością zajmującą się badaniami w zakresie bezpieczeństwa w celu identyfikacji i usuwania luk w zabezpieczeniach, aby zapewnić bezpieczeństwo naszych użytkowników, produktów i Internetu. Aby podziękować tym, którzy wnieśli swój wkład, firma QNAP wręcza nagrody w ramach naszego programu Security Bounty.

Podziękowanie

Zakres programu

Program Bounty akceptuje wyłącznie zgłoszenia dotyczące podatności Zabezpieczenia związanych z produktami i usługami internetowymi QNAP. Wszelkie zgłoszenia Zabezpieczenia wykraczające poza zakres tego programu nie będą kwalifikować się do nagród. Program ten nie akceptuje ani nie nagradza podatności Zabezpieczenia znalezionych w oprogramowaniu firm trzecich (np. zewnętrzne QPKG). Jeśli odkryjesz problemy Zabezpieczenia w takim oprogramowaniu, skontaktuj się bezpośrednio z odpowiednimi dostawcami lub deweloperami.

Jak zgłosić lukę w zabezpieczeniach i otrzymać nagrodę?

Zaszyfruj swoją wiadomość e-mail poniższym kluczem publicznym PGP i wyślij ją na adres security@qnap.com. Odpowiemy jak tylko będzie to możliwe.

Sugerowany format raportu dotyczącego luk

Klucz szyfrowania PGP

Skopiuj klucz szyfrowania PGP
Zgłoś luki w zabezpieczeniach

Kryteria kwalifikacji do zdobycia nagrody

  • Zgłaszane luki w zabezpieczeniach nie mogły być zgłoszone już wcześniej.

  • Użytkownik nie może publicznie udostępniać żadnych plików i/lub szczegółów związanych ze zgłaszaną luką. Dotyczy to również przesyłania plików do wszelkich publicznie dostępnych witryn internetowych.

  • Zespół QNAP PSIRT potwierdzi, że zgłoszona luka jest weryfikowalna, możliwa do odtworzenia i stanowi istotny problem bezpieczeństwa.

  • Użytkownik zgadza się na wszystkie warunki programu Security Bounty.

Wartość nagrody może być zwiększona w oparciu o:

  • Integralność formatów: Podczas zgłaszania luk w systemach operacyjnych, aplikacjach lub usługach chmurowych należy zachować zgodność z przykładowymi formatami i podawać szczegółowe informacje. Przykładowe formaty: Systemy operacyjne, Aplikacje, Usługi chmurowe.

  • Kroki do odtworzenia: Przedstaw czynności wykonywane w celu odtworzenia luk.

  • Opisy problemów: Jasno i zwięźle przedstaw swoje rozwiązania i metodę rozwiązania problemu.

  • Inne przydatne informacje: Dołącz kod testowy, skrypty i wszystko, co jest wymagane do wyjaśnienia.

  • Dane Raw dotyczące ataków (obciążenie exploitami): W celu zapewnienia integralności danych wymagany jest raport tekstowy. Jeśli obciążenia sieci zostały przedstawione tylko w postaci obrazów, oceny luk mogą nie spełnić wymogów QNAP PSIRT.

Podziękowanie

Szczerze dziękujemy wszystkim badaczom za ich wiedzę i zaangażowanie.

Często zadawane pytania

Wysokość nagrody jest określana na podstawie złożoności skutecznego wykorzystania luki, potencjalnego narażenia na atak oraz odsetka użytkowników i systemów, których ona dotyczy.

Jeśli filmy wideo ułatwią nam zrozumienie, w jaki sposób wykorzystywane są luki w zabezpieczeniach, komisja ds. nagród QNAP może w rezultacie zwiększyć wartość nagrody. Należy pamiętać, że mimo to należy dostarczyć pisemną dokumentację (np. informacje o produkcie, podsumowanie informacji o luce i kroki do odtworzenia), ponieważ pomoże to w zarządzaniu procesem ujawniania luki.

Raport o luce musi zawierać co najmniej poniższe informacje: nazwę produktu, wersję i numer kompilacji, w której występuje luka, lub lokalizację adresu URL dla usług w chmurze.
Powinien również zawierać podsumowanie potencjalnych zagrożeń stwarzanych przez lukę, wraz z jasno określonymi krokami replikacji. Dodatkowo, do raportu może być dołączony film przedstawiający lukę w zabezpieczeniach.

Przy użyciu Klucza PGP zapewnionego przez firmę QNAP zaszyfruj raport i wyślij go na adres security@qnap.com. System automatycznie poda numer zgłoszenia pomocy technicznej, przy użyciu którego można zapytać o postęp weryfikacji. Zespół PSIRT firmy QNAP będzie proaktywnie kontaktował się z użytkownikiem, który wykrył lukę, w celu weryfikacji integralności przesłanych informacji. Jeśli wszystkie wymagane informacje zostały podane użytkownik, który wykrył lukę, w ciągu tygodnia otrzyma list potwierdzający podatność na ataki QNAP PSIRT. List będzie zawierał przypisany identyfikator CVE dla zgłoszonego błędu bezpieczeństwa. Propozycja nagrody zostanie przekazana pocztą elektroniczną cztery tygodnie po dacie listu potwierdzającego podatność. Jeśli użytkownik, który wykrył lukę, wyrazi zgodę, firma QNAP dokona płatności 12 tygodni po otrzymaniu odpowiedzi potwierdzającej.

Subskrybuj QNAP eNews, aby otrzymywać najnowsze informacje na temat bezpieczeństwa produktów

Subskrybuj teraz Dogłębne zapoznanie się z poradami dotyczącymi bezpieczeństwa

Wybierz specyfikację

      Więcej Mniej
      Ta strona dostępna jest w też krajach/regionach:
      open menu
      back to top