Политика ответственного раскрытия уязвимостей

ТОО «Gamechanger» уделяет внимание безопасности своих интернет-ресурсов, программных продуктов и информационных систем.

Несмотря на принимаемые меры защиты, ни одна информационная система не может считаться абсолютно неуязвимой.

Если исследователь, пользователь, клиент или иной человек обнаружил потенциальную уязвимость в системе Gamechanger, мы просим сообщить о ней ответственным способом, чтобы команда могла проверить проблему и принять необходимые меры.

Настоящая Политика определяет:

• куда направлять информацию об уязвимости;
• какие сведения желательно предоставить;
• какие действия допустимы;
• какие действия запрещены;
• как Gamechanger рассматривает сообщения;
• как регулируется публичное раскрытие информации.

Политика применяется прежде всего к публичным интернет-ресурсам, принадлежащим или управляемым ТОО «Gamechanger», включая:

• gamechanger.kz;
• gamechangercraft.kz;
• gamechangerweb.kz;
• их поддомены;
• публичные API Gamechanger;
• публичные сервисы и приложения Gamechanger, если для них не установлена отдельная политика безопасности.

Наличие настоящей Политики не означает автоматического разрешения на тестирование любых систем, инфраструктуры, серверов или продуктов Gamechanger.

Если ресурс не указан явно или принадлежность системы неочевидна, перед активным тестированием необходимо запросить разрешение.

Настоящая Политика не предоставляет разрешения тестировать системы клиентов Gamechanger.

Даже если продукт:

• был разработан Gamechanger;
• обслуживается Gamechanger;
• содержит упоминание Gamechanger;
• технически связан с инфраструктурой Gamechanger,

он может принадлежать другому юридическому лицу.

Для исследования такой системы необходимо разрешение её владельца.

Если потенциальная уязвимость обнаружена случайно, информацию можно направить Gamechanger, и мы постараемся передать её соответствующему владельцу или ответственному специалисту.

Можно сообщать, в частности, о потенциальных:

• ошибках контроля доступа;
• IDOR;
• нарушениях авторизации;
• обходе аутентификации;
• SQL Injection;
• Command Injection;
• XSS;
• SSRF;
• CSRF;
• небезопасной загрузке файлов;
• неправильной конфигурации;
• утечке секретов;
• открытых API-ключах;
• небезопасных API;
• ошибках управления сессиями;
• утечке персональных данных;
• раскрытии конфиденциальной информации;
• неправильной конфигурации облачной инфраструктуры;
• уязвимых зависимостях;
• ошибках бизнес-логики;
• возможности повышения привилегий;
• критичных проблемах AI-интерфейсов;
• раскрытии внутреннего контекста AI;
• доступе AI к данным другого пользователя;
• иных проблемах, способных реально повлиять на конфиденциальность, целостность или доступность системы.

Отправьте письмо: Developers@Gamechanger.kz

Желательно указать:

• URL или название затронутого ресурса;
• тип предполагаемой уязвимости;
• краткое описание;
• шаги воспроизведения;
• ожидаемое поведение;
• фактическое поведение;
• потенциальное влияние;
• дату и время обнаружения;
• браузер, устройство или иной технический контекст, если он имеет значение;
• минимально необходимое доказательство существования проблемы.

При необходимости можно приложить:

• скриншот;
• безопасный proof of concept;
• HTTP-запрос;
• фрагмент ответа сервера;
• логи, не содержащие лишних персональных данных;
• видео воспроизведения.

Исследователь должен стремиться подтвердить наличие потенциальной уязвимости с минимально возможным воздействием.

Если для подтверждения достаточно:

• увидеть факт доступа;
• получить один собственный тестовый объект;
• подтвердить возможность действия без его фактического выполнения,

не следует продолжать эксплуатацию.

Цель добросовестного исследования — показать проблему, а не доказать, насколько большой ущерб можно причинить.

Если при исследовании случайно обнаружены персональные данные другого человека: не продолжайте их изучение.

Не следует:

• скачивать массив данных;
• копировать базу;
• делать дополнительные запросы к чужим записям;
• распространять найденную информацию;
• публиковать скриншоты с открытыми персональными данными.

Зафиксируйте только минимальный объём информации, необходимый для подтверждения проблемы, и сообщите Gamechanger.

Если уязвимость случайно раскрыла:

• исходный код;
• договоры;
• коммерческую тайну;
• ключи;
• внутренние документы;
• конфигурацию;
• данные клиентов;
• закрытые репозитории,

исследователь должен прекратить дальнейшее получение информации после достаточного подтверждения проблемы.

Полученные сведения не должны использоваться для иных целей.

Если обнаружены:

• API-ключ;
• пароль;
• токен;
• приватный ключ;
• credential;
• секрет облачной инфраструктуры,

не следует использовать его для исследования дополнительных систем.

В сообщении достаточно указать:

• где найден секрет;
• к какому типу системы он предположительно относится;
• минимальную информацию, подтверждающую его потенциальную действительность.

Gamechanger самостоятельно проведёт ротацию и внутреннюю проверку.

В пределах настоящей Политики допустимы разумные действия с минимальным воздействием, например:

• изучение публично доступной информации;
• анализ клиентской части сайта;
• проверка собственных данных и собственной пользовательской сессии;
• безопасная проверка предполагаемой ошибки;
• создание минимального proof of concept;
• отправка ограниченного количества запросов, необходимого для воспроизведения;
• анализ публичных HTTP-заголовков и конфигурации;
• сообщение о случайно обнаруженной проблеме.

Каждая ситуация оценивается с учётом характера действий и их воздействия.

Массовое автоматизированное сканирование не считается автоматически разрешённым настоящей Политикой.

Причина проста: даже стандартный scanner способен:

• создать значительную нагрузку;
• вызвать блокировку;
• повредить нестабильную функцию;
• создать большое количество ложных событий безопасности.

Для интенсивного автоматизированного тестирования необходимо предварительное согласование.

Если предполагаемая уязвимость связана с доступом к объектам другого пользователя, рекомендуется использовать:

• собственные тестовые аккаунты;
• тестовые данные;
• минимальный безопасный сценарий.

Если регистрация на конкретном сервисе отсутствует и безопасно проверить гипотезу невозможно, лучше сообщить потенциальную проблему без дальнейшей эксплуатации.

Gamechanger также принимает сообщения о потенциальных проблемах AI-интерфейсов.

Например:

• раскрытие данных другого пользователя;
• доступ к внутренним документам без соответствующих прав;
• раскрытие секретных ключей;
• обход ограничений доступа к базе знаний;
• получение конфиденциальной системной информации;
• возможность использовать AI как путь к несанкционированному доступу;
• опасные ошибки интеграции AI с внешними инструментами.

При этом само по себе получение AI-ответа, который выглядит необычно или неправильно, ещё не означает наличие уязвимости безопасности.

Исследования prompt injection допустимы только в пределах, не создающих реального риска для данных или инфраструктуры.

Не следует использовать prompt injection для:

• получения чужих персональных данных;
• получения ключей;
• обхода реальной авторизации;
• выполнения несанкционированных действий во внешних системах;
• изменения или удаления данных.

Если найден способ заставить AI раскрыть внутренние инструкции без доступа к чувствительным данным, это можно сообщить как потенциальную проблему.

Обнаруженная уязвимость не должна использоваться:

• для получения коммерческой выгоды за счёт пользователей;
• для шантажа;
• для вымогательства;
• для получения услуг бесплатно путём обхода платёжных механизмов;
• для изменения чужих данных;
• для получения конкурентной информации;
• для атаки третьих лиц.

Responsible Disclosure заканчивается там, где начинается эксплуатация ради выгоды или вреда.

Мы просим не публиковать технические подробности уязвимости сразу после её обнаружения.

До публичного раскрытия рекомендуется дать Gamechanger разумное время:

• подтвердить проблему;
• определить её влияние;
• разработать исправление;
• проверить исправление;
• уведомить затронутых лиц, если это необходимо;
• выполнить обязательные действия, предусмотренные законодательством.

Если исследователь хочет опубликовать информацию об уязвимости, рекомендуется предварительно согласовать:

• дату публикации;
• объём технических деталей;
• необходимость скрытия персональных данных;
• необходимость скрытия инфраструктурных сведений;
• статус исправления.

Gamechanger не ставит целью бессрочно запрещать добросовестное раскрытие проблемы.

Цель — предотвратить ситуацию, когда инструкция по эксплуатации уязвимости публикуется раньше, чем пользователи получили защиту.

К потенциально критическим сообщениям могут относиться:

• удалённое выполнение кода;
• полный обход авторизации;
• массовая утечка персональных данных;
• доступ к production-инфраструктуре;
• компрометация административной панели;
• получение критических секретов;
• возможность изменить значимые данные;
• уязвимость, позволяющая атаковать большое количество пользователей.

В таких случаях в теме письма желательно указать: SECURITY — CRITICAL

После получения сообщения Gamechanger может:

1. зарегистрировать обращение;
2. провести первоначальную оценку;
3. попытаться воспроизвести проблему;
4. определить уровень риска;
5. запросить дополнительную информацию;
6. разработать исправление;
7. проверить исправление;
8. выполнить необходимые действия по реагированию на инцидент.

Gamechanger стремится подтверждать получение качественных сообщений об уязвимостях.

Скорость дальнейшей коммуникации зависит от:

• серьёзности проблемы;
• сложности воспроизведения;
• затронутой системы;
• необходимости участия стороннего поставщика;
• характера требуемого исправления.

Настоящая Политика не устанавливает гарантированный SLA для бесплатных сообщений исследователей.

При оценке проблемы могут учитываться:

• возможность эксплуатации;
• требуемые права;
• необходимость взаимодействия пользователя;
• объём доступных данных;
• потенциальный ущерб;
• количество затронутых пользователей;
• сложность атаки;
• наличие компенсирующих мер;
• возможность удалённой эксплуатации.

Для технической оценки могут использоваться общепринятые подходы, включая CVSS, но итоговый приоритет определяется также бизнес-контекстом.

Несколько исследователей могут независимо обнаружить одну и ту же проблему.

Если сообщение описывает уже известную Gamechanger уязвимость, оно может быть отмечено как дубликат.

Это не означает, что сообщение было бесполезным.

Некоторые сообщения могут быть признаны не уязвимостью, а рекомендацией по усилению безопасности.

Например:

• отсутствие определённого необязательного security header;
• раскрытие информации, которая уже является публичной;
• теоретическая атака без практически реализуемого сценария;
• версия ПО без подтверждённой применимой уязвимости.

Такие сообщения всё равно могут быть полезны и рассмотрены командой.

На момент настоящей редакции публикация настоящей Политики не означает существование публичной Bug Bounty Program и не гарантирует денежное вознаграждение.

Если Gamechanger решит выплачивать вознаграждение за отдельное сообщение, это может быть определено индивидуально либо в рамках отдельной программы.

Исследователь не должен предполагать наличие обязательства Gamechanger оплатить исследование только на основании факта направления сообщения.

Настоящая Политика не является договором на проведение:

• penetration testing;
• security audit;
• red team;
• нагрузочного тестирования;
• комплексного сканирования инфраструктуры.

Такие работы требуют отдельного письменного согласования.

При оценке действий исследователя Gamechanger учитывает:

• действовал ли он с целью сообщить проблему;
• ограничил ли воздействие;
• прекратил ли исследование после достаточного подтверждения;
• не использовал ли чужие данные;
• не причинил ли умышленный ущерб;
• не пытался ли получить незаконную выгоду;
• сообщил ли о проблеме ответственным способом.

Настоящая Политика описывает предпочтительный порядок ответственного взаимодействия с Gamechanger.

Она не предоставляет разрешения совершать действия, запрещённые законодательством Республики Казахстан, и не может отменять требования законодательства.

Если исследователь не уверен, допустимо ли конкретное действие, разумнее остановиться и запросить разрешение до его выполнения.

Исследователь может указать:

• имя;
• псевдоним;
• организацию;
• контакт для обратной связи.

Gamechanger использует предоставленные контактные данные для обработки сообщения и коммуникации по проблеме.

Если исследователь просит не указывать его имя при возможной публикации информации об исправлении, Gamechanger учитывает такой запрос в разумных пределах.

С согласия исследователя Gamechanger может публично поблагодарить его за ответственное сообщение.

Например, может быть опубликовано:

• имя;
• псевдоним;
• профиль;
• название организации.

Без соответствующего основания персональные данные исследователя не должны публиковаться только потому, что он сообщил об уязвимости.

Персональные данные, полученные при сообщении об уязвимости, обрабатываются в соответствии с:

• Политикой конфиденциальности Gamechanger;
• законодательством Республики Казахстан.

Данные могут храниться в объёме, необходимом для:

• расследования;
• исправления проблемы;
• обеспечения безопасности;
• предотвращения повторных инцидентов;
• выполнения юридических обязанностей.

Если сообщение указывает на возможное нарушение безопасности персональных данных, Gamechanger проводит отдельную оценку инцидента и выполняет действия, предусмотренные законодательством Республики Казахстан и внутренними процедурами Компании.

Исследователю не следует самостоятельно уведомлять потенциально затронутых пользователей до координации с Gamechanger, если отсутствие такого уведомления не создаёт непосредственной угрозы человеку и иное не требуется законом.

Некоторые проблемы могут находиться:

• в сторонней библиотеке;
• в облачном сервисе;
• в AI-провайдере;
• в системе аналитики;
• в иной внешней технологии.

В таком случае Gamechanger может:

• принять компенсирующие меры;
• обновить компонент;
• отключить функцию;
• уведомить соответствующего поставщика;
• передать ему необходимую техническую информацию.

При такой передаче не должны без необходимости передаваться персональные данные исследователя или пользователей.

Не следует отправлять критические секреты через незащищённый канал, если для описания проблемы достаточно указать место их обнаружения.

Gamechanger вправе обновлять настоящую Политику в связи с:

• изменением инфраструктуры;
• появлением новых сервисов;
• изменением законодательства;
• развитием AI;
• изменением процессов информационной безопасности;
• запуском отдельной Bug Bounty Program.

Актуальная версия публикуется на интернет-ресурсах Gamechanger.