[Aviso Importante Segurança] Foram detetados websites falsos de Qfinder Pro. Saiba mais >
Search

Programa de recompensas de segurança

A QNAP tem um compromisso intransigente com a segurança da informação e estabeleceu parcerias com a comunidade de investigação de segurança a fim de identificar e corrigir vulnerabilidades com o intuito de manter os nossos utilizadores, produtos e a internet mais seguros. A QNAP procura agradecer aos que contribuem, através da oferta de recompensas do programa de recompensas de segurança.

Reconhecimento

Âmbito do programa

O Programa de Recompensas só aceita relatórios de vulnerabilidades de Segurança relacionados com produtos e serviços web da QNAP. Qualquer relatório de Segurança que esteja fora do âmbito deste programa não será elegível para recompensas. Este programa não aceita nem recompensa vulnerabilidades de Segurança encontradas em software de terceiros (por exemplo, QPKG de terceiros). Se descobrir problemas de Segurança nesse tipo de software, por favor contacte e notifique diretamente os respetivos fornecedores ou desenvolvedores.

Como denunciar a vulnerabilidade e obter recompensas?

Utilize a chave pública de encriptação PGP abaixo para encriptar o seu e-mail e enviá-lo para security@qnap.com. Contactá-lo-emos o mais brevemente possível.

Formato sugerido para o relatório de vulnerabilidade

Chave de encriptação PGP

Copiar chave de encriptação PGP
Comunicar vulnerabilidade

Qualificações para recompensas

  • Deve ser o primeiro investigador a comunicar as vulnerabilidades.

  • Não deve ter partilhado publicamente quaisquer ficheiros e/ou pormenores relacionados com a vulnerabilidade. Isto inclui carregamentos para quaisquer websites acessíveis ao público.

  • A vulnerabilidade comunicada é confirmada como verificável, replicável e um problema de segurança válido pela equipa PSIRT da QNAP.

  • Concorda com todos os termos e condições do programa de recompensas de segurança.

A recompensa pode ser aumentada com base na:

  • Integridade do formato: Cumpra os exemplos de formato e forneça informações pormenorizadas ao comunicar vulnerabilidades em sistemas operativos, aplicações ou serviços em nuvem. Exemplos de formato: Sistemas operativos, Aplicações, Serviços em nuvem.

  • Passos para a reprodução: Demonstre os seus passos para reproduzir as vulnerabilidades.

  • Descrição do problema: Apresente de forma clara e concisa a forma como resolveria o problema e a sua abordagem.

  • Outras informações de apoio: Inclua código de teste, scripts e tudo o que for necessário para a sua explicação.

  • Dados brutos dos ataques (payload do exploit): É necessário um relatório em forma de texto para garantir a integridade dos dados. As avaliações de vulnerabilidade podem ficar aquém das expectativas da equipa PSIRT da QNAP quando as cargas úteis da rede são fornecidas apenas em imagens.

Reconhecimento

Agradecemos sinceramente a todos os investigadores pela sua experiência e dedicação.

Perguntas frequentes

A recompensa é determinada pela complexidade de exploração bem-sucedida da vulnerabilidade, da exposição potencial e da percentagem de utilizadores e sistemas afetados.

Se os vídeos facilitarem a compreensão da forma como as vulnerabilidades são exploradas, o comité de atribuição de prémios da QNAP poderá aumentar a recompensa. Tenha em conta que deve continuar a ser fornecida documentação escrita (por exemplo, informações sobre o produto, resumo da vulnerabilidade e passos para a sua reprodução), uma vez que ajuda a gerir o processo de divulgação da vulnerabilidade.

Um relatório de vulnerabilidade deve incluir, pelo menos, as seguintes informações: o nome do produto, a versão e o número da compilação em que a vulnerabilidade existe, ou a localização do URL para os serviços em nuvem.
Deve também fornecer um resumo das potenciais ameaças colocadas pela vulnerabilidade, juntamente com passos de replicação cuidadosamente detalhados. Além disso, o relatório pode ser acompanhado de um vídeo que demonstre a vulnerabilidade.

Utilize a chave PGP fornecida pela QNAP para encriptar o relatório e envie-o para security@qnap.com. O sistema responderá automaticamente com um número de assistência técnica, que pode utilizar para obter informações sobre o progresso da revisão. A equipa PSIRT da QNAP entrará proativamente em contacto com o investigador para verificar se as informações apresentadas estão completas. Se todas as informações necessárias tiverem sido fornecidas, o investigador receberá uma carta de confirmação de vulnerabilidade da equipa PSIRT da QNAP no prazo de uma semana. A carta incluirá a ID CVE atribuída ao problema de segurança comunicado. A proposta de atribuição de prémio será enviada por e-mail quatro semanas após a data da carta de confirmação da vulnerabilidade. Se o investigador concordar, a QNAP deverá efetuar o pagamento 12 semanas após a receção da resposta de confirmação.

Subscreva a QNAP eNews para receber as notícias mais recentes sobre segurança dos produtos

Subscreva agora Uma análise aprofundada do mundo do Aconselhamento de segurança

Escolher especificação

      Mostrar mais Menos
      Este site noutros países/regiões:
      open menu
      back to top