Политика раскрытия уязвимостей

Фон

Политика раскрытия уязвимостей (VDP) описывает, как сообщать о возможных проблемах безопасности в продуктах, сервисах и системах Keeper Security. Она позволяет клиентам и другим пользователям законно и безопасно сообщать о выявленных уязвимостях.

Обратите внимание, что у Keeper Security есть отдельная официальная программа вознаграждений за найденные уязвимости. Мы рассматриваем сообщения, поступающие по Политике раскрытия уязвимостей, но они не участвуют в программе вознаграждений и не предполагают дальнейшего взаимодействия.

Область действия

Политика действует в отношении следующих систем Keeper Security:

веб-приложения,
API,
Мобильные приложения
все сервисы компании Keeper Security.

Правила сообщения об уязвимостях

Если вы обнаружили потенциальную уязвимость, пожалуйста:

сообщите о ней через Форму раскрытия уязвимостей;
добавьте чёткое описание проблемы с техническими подробностями;
не публикуйте информацию об уязвимости, пока мы не подтвердим и не устраним её;
избегайте действий, которые нарушают работу систем, компрометируют данные или затрагивают пользователей.

Правила взаимодействия

В рамках этой политики и действующих условий Keeper запрещено:

использовать уязвимости сверх того, что необходимо, чтобы подтвердить их наличие;
получать доступ к данным клиентов или сотрудников, изменять их или выводить за пределы системы;
нарушать конфиденциальность, ухудшать работу сервисов, снижать их доступность или ставить под угрозу целостность систем;
применять автоматические инструменты сканирования, которые создают избыточную нагрузку или могут вызвать отказ в обслуживании (DoS).

Премии за обнаружение ошибок и уязвимостей

У Keeper Security, Inc. действует отдельная программа вознаграждений за найденные уязвимости — Bugcrowd. Она предусматривает скоординированное взаимодействие и выплату вознаграждений участникам, соответствующим условиям программы. Эта программа не связана с Политикой раскрытия уязвимостей (VDP) и действует отдельно от неё.

Keeper Security рассматривает все сообщения, поданные в рамках Политики раскрытия уязвимостей, однако вознаграждение и скоординированное взаимодействие предусмотрены только по программе премий за обнаруженные уязвимости.

При отправке сообщения через Политику раскрытия уязвимостей исследователи могут сообщить, что хотят участвовать в программе вознаграждений. Keeper Security, Inc. может пригласить их позже. Подробная информация доступна на платформе Bugcrowd.