سیاست افشای مسئولانهٔ آسیب‌پذیری

هرچه گزارش دقیق‌تر باشد، بازتولید و رفع سریع‌تر انجام می‌شود. لازم نیست گزارش طولانی یا رسمی باشد؛ کافی است کسی که آن را می‌خواند، بتواند بدون پرسش اضافه مشکل را ببیند. گزارش را به فارسی یا انگلیسی بنویسید؛ هر دو زبان در security.txt اعلام شده‌اند.

مراحل و زمان‌های جدول زیر همان تعهدات بخش «چارچوب زمانی» این سیاست‌اند. منظور از روز کاری، شنبه تا چهارشنبه است. اگر در هر مرحله پاسخی نگرفتید، با ذکر تاریخ گزارش اول، پیگیری کنید.

در طول بررسی، ممکن است برای بازتولید پرسش‌های تکمیلی بفرستیم. پس از رفع، از شما می‌خواهیم اگر مایلید رفع را تأیید کنید. انتشار عمومی جزئیات پس از رفع و با هماهنگی انجام می‌شود.

محدوده عمداً روی سامانه‌هایی است که ایران‌کلاد خودش می‌سازد و اداره می‌کند. سرویس‌های شخص ثالث، مثل درگاه پرداخت و سرویس پیامک، فرایند گزارش خودشان را دارند و آسیب‌پذیری آن‌ها را باید مستقیم به خودشان گزارش دهید.

یافته‌هایی که اثر امنیتی واقعی ندارند، مثل نبود یک هدر توصیه‌شده بدون سناریوی سوءاستفاده، معمولاً در اولویت پایین قرار می‌گیرند. این به معنای بی‌اهمیت بودن نیست؛ فقط یعنی منابع ابتدا صرف مشکلاتی می‌شود که داده یا دسترسی مشتریان را تهدید می‌کنند.

قاعدهٔ اصلی ساده است: فقط روی حساب و منابع خودتان آزمایش کنید. یک حساب آزمایشی بسازید، با آن سرور یا دیتابیس کوچکی سفارش دهید و آسیب‌پذیری را روی همان‌ها اثبات کنید. اگر برای اثبات دسترسی به دادهٔ کاربر دیگر لازم است، به جای خواندن داده، نشان دهید که دسترسی ممکن است و همان‌جا متوقف شوید.

بررسی کد جاوااسکریپتی که مرورگر دریافت می‌کند، آزمایش ورودی‌ها برای تزریق، بررسی مجوزهای API و آزمایش جعل درخواست بین‌سایتی مجازند. هر کاری که پایداری سرویس را برای دیگران به خطر بیندازد، مثل ارسال انبوه درخواست، اسکن پرشتاب یا اجرای کد تخریبی، ممنوع است. اگر ناخواسته به دادهٔ شخص دیگری رسیدید، آن را ذخیره یا منتشر نکنید و فوراً گزارش دهید.

سرورهای مشتریان متعلق به خودشان است و آزمایش آن‌ها فقط با اجازهٔ کتبی صاحب سرور مجاز است. اگر روی سایت یک مشتری آسیب‌پذیری دیدید، بهترین مسیر تماس با خود صاحب سایت است. اگر سرور یک مشتری منشأ حمله، اسپم یا فیشینگ است، آن را به abuse@iranclaud.ir گزارش دهید تا طبق سیاست استفادهٔ مجاز بررسی شود.

استثنای مهم، ضعف‌های جداسازی است. اگر از داخل سرور ابری خودتان راهی به سرور، شبکهٔ خصوصی یا دادهٔ مشتری دیگری پیدا کردید، یا توانستید به منابعی دسترسی بگیرید که متعلق به حساب شما نیست، این آسیب‌پذیری پلتفرم است و دقیقاً همان چیزی است که می‌خواهیم بدانیم.

هدف این سیاست پنهان کردن آسیب‌پذیری‌ها نیست، بلکه زمان‌بندی درست انتشار است. پس از رفع، انتشار جزئیات فنی برای جامعهٔ امنیتی مفید است و ما با آن مخالفتی نداریم؛ فقط از شما می‌خواهیم پیش از انتشار، متن را با ما هماهنگ کنید تا اطلاعاتی دربارهٔ مشتریان یا جزئیاتی که هنوز قابل سوءاستفاده است، در آن نباشد.

اگر ۹۰ روز از گزارش گذشت و مشکل بحرانی همچنان رفع نشده بود، طبق همین سیاست می‌توانید آن را عمومی کنید. در این حالت هم توصیه می‌کنیم پیش از انتشار یک بار دیگر با security@iranclaud.ir تماس بگیرید تا وضعیت به‌روز را بدانید و گزارش شما با واقعیت فعلی یکی باشد.

برای مشتریان هم پیامد روشنی دارد: اگر آسیب‌پذیری‌ای بر دادهٔ آن‌ها اثر گذاشته باشد، اطلاع‌رسانی به آن‌ها طبق توافق‌نامهٔ پردازش داده انجام می‌شود، جدا از اینکه پژوهشگر کی گزارش خود را منتشر کند.

ایران‌کلاد علیه پژوهشگرانی که با حسن‌نیت و در چارچوب این سیاست عمل کنند، اقدام قانونی نمی‌کند. چارچوب یعنی آزمایش فقط روی حساب خودتان، پرهیز از دسترسی به دادهٔ دیگران و اقدام تخریبی، و عمومی نکردن جزئیات پیش از رفع یا پیش از پایان مهلت ۹۰ روزه.

این تعهد شامل اقداماتی که آشکارا از چارچوب بیرون‌اند نمی‌شود؛ مثل باج‌خواهی، نگه داشتن یا فروش داده، یا ادامهٔ دسترسی پس از کشف مشکل. اگر در مرز مجاز بودن یک آزمایش تردید دارید، پیش از انجامش از security@iranclaud.ir بپرسید. پرسیدن هیچ هزینه‌ای ندارد و هر دو طرف را از سوءتفاهم حفظ می‌کند.

همهٔ گزارش‌های معتبر، اگر گزارش‌دهنده بخواهد، با نام او در تغییرات نسخه‌ها قدردانی می‌شوند. برای یافته‌های بحرانی، پاداش نقدی یا اعتبار سرویس به‌صورت مورد به مورد در نظر گرفته می‌شود و مبلغ یا میزان آن پس از ارزیابی اثر واقعی، از طریق security@iranclaud.ir هماهنگ می‌شود.

جدول ثابت مبلغ پاداش نداریم و هیچ عددی را از پیش تضمین نمی‌کنیم. جزئیات بیشتر دربارهٔ سطح‌بندی شدت و رفتار مورد انتظار در صفحهٔ برنامهٔ گزارش باگ آمده است.

همهٔ مشکلات امنیتی آسیب‌پذیری پلتفرم نیستند. اگر فکر می‌کنید حسابتان نفوذ شده، اول رمز را عوض کنید، در بخش دستگاه‌های فعال نشست‌های ناشناس را ببندید، توکن‌های API را باطل کنید و گزارش فعالیت را ببینید. اگر سرورتان آلوده شده، دسترسی شبکه را با فایروال محدود کنید و از داده‌های سالم بکاپ بگیرید.

برای کمک فنی، از پنل تیکت ثبت کنید. اگر بررسی‌ها نشان داد علت ضعفی در خود ایران‌کلاد بوده، همان را با جزئیات به security@iranclaud.ir هم بفرستید. وضعیت سرویس‌ها و قطعی‌های احتمالی هم در صفحهٔ وضعیت منتشر می‌شود.