الإبلاغ عن ثغرة أمنية

كيفية الإبلاغ

راسلونا على support@forensicsguard.org مع وضع كلمة “Security” في سطر الموضوع. وإذا كنتم تفضّلون تبادل رسائل مشفّرة، فاذكروا ذلك في رسالة أولى دون تفاصيل، وسنرتّب الأمر قبل أن ترسلوا أي شيء حساس.

ما يساعدنا على التحرك بسرعة

• المكوّن المتأثر — Guardian أو محطة التحليل أو مستشعر الهاتف أو هذا الموقع
• رقم الإصدار، إن كان متوفرًا لديكم
• ما الذي يستطيع المهاجم تحقيقه، وما الوصول الذي يحتاجه للبدء
• خطوات إعادة إنتاج المشكلة، أو إثبات مفهوم
• الطريقة التي تودّون أن نذكركم بها، أو رغبتكم في عدم ذكركم

يرجى عدم تضمين

• مواد القضايا أو الأدلة أو البيانات الشخصية العائدة إلى أي نشر
• بيانات حصلتم عليها من نظام لم يكن لديكم تصريح باختباره

ما نلتزم به

• سنُقرّ باستلام بلاغكم.
• وسنطلعكم على تقييمنا، بما في ذلك ما إذا كنا لا نتفق على أنها ثغرة أمنية، وسبب ذلك.
• وسنُبقيكم على اطلاع أثناء عملنا على المعالجة.
• وسنذكركم بالاسم إن رغبتم في ذلك.
• ولن نتخذ ضدكم أي إجراء قانوني، ولن نطلب من أي جهة أخرى أن تفعل ذلك، بسبب بحث أمني أُجري بحسن نية وفق الإرشادات الواردة في هذه الصفحة.

الإفصاح المنسّق

يرجى منحنا فرصة معقولة لمعالجة المشكلة قبل الإفصاح عنها علنًا. ولأن عمليات النشر تتم داخل مقر الجهة، وبعضها معزول عن قصد، فقد تستغرق التحديثات وقتًا أطول لتصل إلى كل مشغّل مما تستغرقه في خدمة سحابية — وهذا قيد عملي يفرضه نموذج النشر، لا محاولة لتأخيركم. وإذا كان لديكم موعد نهائي للإفصاح، فأخبرونا به في البداية، وسنعمل على الالتزام به أو نوضّح سبب تعذّر ذلك.

النطاق

يشمل النطاق: مكوّنات منصة ForensicsGuard وهذا الموقع. ويخرج عن النطاق: النتائج التي تتطلب وصولًا ماديًا إلى جهاز صار بالفعل في حوزة المهاجم، وحجب الخدمة عبر استنزاف الموارد، والبلاغات الصادرة عن أدوات فحص آلية وحدها دون إثبات أثر فعلي، والمشكلات في خدمات أطراف أخرى لا نتحكم فيها.

حدود الاختبار

يرجى ألا تختبروا إلا على أنظمة تملكونها أو لديكم تصريح كتابي باختبارها. ولا تختبروا على نشر خاص بجهة عميلة. ولا تصلوا إلى بيانات ليست ملككم ولا تعدّلوها ولا تسحبوها. وإذا وصلتم إلى بيانات عميل بغير قصد، فتوقفوا، وأبلغونا، ولا تحتفظوا بها.