Search

Program Security Bounty

Firma QNAP bezkompromisowo angażuje się w sprawy bezpieczeństwa informacji i współpracuje ze społecznością zajmującą się badaniami w zakresie bezpieczeństwa w celu identyfikacji i usuwania luk w zabezpieczeniach, aby zapewnić bezpieczeństwo naszych użytkowników, produktów i Internetu. Aby podziękować tym, którzy wnieśli swój wkład, firma QNAP wręcza nagrody w ramach naszego programu Security Bounty.

Zakres programu

Nasz program Security Bounty obejmuje wyłącznie luki w zabezpieczeniach produktów i usług QNAP. Błędy wykraczające poza ten zakres nie będą kwalifikowały się do nagrody, z wyjątkami zgłoszeń krytycznych błędów wykraczających poza ten zakres, w zależności od sytuacji.

Jak zgłosić lukę w zabezpieczeniach i otrzymać nagrodę?

Zaszyfruj swoją wiadomość e-mail poniższym kluczem publicznym PGP i wyślij ją na adres security@qnap.com. Odpowiemy jak tylko będzie to możliwe.

Sugerowany format raportu dotyczącego luk

Klucz szyfrowania PGP

Skopiuj klucz szyfrowania PGP
Zgłoś luki w zabezpieczeniach

Kryteria kwalifikacji do zdobycia nagrody

  • Zgłaszane luki w zabezpieczeniach nie mogły być zgłoszone już wcześniej.

  • Użytkownik nie może publicznie udostępniać żadnych plików i/lub szczegółów związanych ze zgłaszaną luką. Dotyczy to również przesyłania plików do wszelkich publicznie dostępnych witryn internetowych.

  • Zespół QNAP PSIRT potwierdzi, że zgłoszona luka jest weryfikowalna, możliwa do odtworzenia i stanowi istotny problem bezpieczeństwa.

  • Użytkownik zgadza się na wszystkie warunki programu Security Bounty.

Wartość nagrody może być zwiększona w oparciu o:

  • Integralność formatów: Podczas zgłaszania luk w systemach operacyjnych, aplikacjach lub usługach chmurowych należy zachować zgodność z przykładowymi formatami i podawać szczegółowe informacje. Przykładowe formaty: Systemy operacyjne, Aplikacje, Usługi chmurowe.

  • Kroki do odtworzenia: Przedstaw czynności wykonywane w celu odtworzenia luk.

  • Opisy problemów: Jasno i zwięźle przedstaw swoje rozwiązania i metodę rozwiązania problemu.

  • Inne przydatne informacje: Dołącz kod testowy, skrypty i wszystko, co jest wymagane do wyjaśnienia.

  • Dane Raw dotyczące ataków (obciążenie exploitami): W celu zapewnienia integralności danych wymagany jest raport tekstowy. Jeśli obciążenia sieci zostały przedstawione tylko w postaci obrazów, oceny luk mogą nie spełnić wymogów QNAP PSIRT.

Często zadawane pytania

Wysokość nagrody jest określana na podstawie złożoności skutecznego wykorzystania luki, potencjalnego narażenia na atak oraz odsetka użytkowników i systemów, których ona dotyczy.

Jeśli filmy wideo ułatwią nam zrozumienie, w jaki sposób wykorzystywane są luki w zabezpieczeniach, komisja ds. nagród QNAP może w rezultacie zwiększyć wartość nagrody. Należy pamiętać, że mimo to należy dostarczyć pisemną dokumentację (np. informacje o produkcie, podsumowanie informacji o luce i kroki do odtworzenia), ponieważ pomoże to w zarządzaniu procesem ujawniania luki.

Raport o luce musi zawierać co najmniej poniższe informacje: nazwę produktu, wersję i numer kompilacji, w której występuje luka, lub lokalizację adresu URL dla usług w chmurze.
Powinien również zawierać podsumowanie potencjalnych zagrożeń stwarzanych przez lukę, wraz z jasno określonymi krokami replikacji. Dodatkowo, do raportu może być dołączony film przedstawiający lukę w zabezpieczeniach.

Przy użyciu Klucza PGP zapewnionego przez firmę QNAP zaszyfruj raport i wyślij go na adres security@qnap.com. System automatycznie poda numer zgłoszenia pomocy technicznej, przy użyciu którego można zapytać o postęp weryfikacji. Zespół PSIRT firmy QNAP będzie proaktywnie kontaktował się z użytkownikiem, który wykrył lukę, w celu weryfikacji integralności przesłanych informacji. Jeśli wszystkie wymagane informacje zostały podane użytkownik, który wykrył lukę, w ciągu tygodnia otrzyma list potwierdzający podatność na ataki QNAP PSIRT. List będzie zawierał przypisany identyfikator CVE dla zgłoszonego błędu bezpieczeństwa. Propozycja nagrody zostanie przekazana pocztą elektroniczną cztery tygodnie po dacie listu potwierdzającego podatność. Jeśli użytkownik, który wykrył lukę, wyrazi zgodę, firma QNAP dokona płatności 12 tygodni po otrzymaniu odpowiedzi potwierdzającej.

Subskrybuj QNAP eNews, aby otrzymywać najnowsze informacje na temat bezpieczeństwa produktów

Subskrybuj teraz Dogłębne zapoznanie się z poradami dotyczącymi bezpieczeństwa

Wybierz specyfikację

      Więcej Mniej

      Ta strona dostępna jest w też krajach/regionach:

      open menu
      back to top