Programm zur Offenlegung von Schwachstellen
LiveAgent hat das Ziel, seinen Service für alle sicher zu halten. Datenschutz und Datensicherheit haben höchste Priorität. Unser Programm zur Offenlegung von Schwachstellen soll die Auswirkungen von Sicherheitslücken auf unsere Tools oder deren Nutzer minimieren. Das Programm zur Offenlegung von Schwachstellen von LiveAgent bezieht sich auf Software, die ganz oder teilweise von Quality Unit entwickelt wurde.
Wenn Sie Sicherheitsforscher sind und eine Schwachstelle im Service entdeckt haben, danken wir Ihnen für Ihre Hilfe, wenn Sie uns diese vertraulich melden und uns die Möglichkeit geben, das Problem zu beheben, bevor technische Details veröffentlicht werden.
LiveAgent arbeitet mit Sicherheitsforschern zusammen, wenn Schwachstellen wie hier beschrieben gemeldet werden. Wir werden Schwachstellen validieren, darauf reagieren und sie beheben – im Einklang mit unserem Engagement für Sicherheit und Datenschutz. Wir werden keine rechtlichen Schritte gegen diejenigen einleiten, den Zugang zum Service nicht sperren oder kündigen, die Schwachstellen verantwortungsvoll entdecken und melden. LiveAgent behält sich jedoch alle rechtlichen Schritte bei Nichteinhaltung vor.
Melden
Teilen Sie die Details zu vermuteten Schwachstellen dem LiveAgent-Entwicklungsteam unter support@liveagent.com mit. Bitte geben Sie diese Details nicht öffentlich weiter, bevor Sie eine ausdrückliche Genehmigung erhalten haben.
Bitte geben Sie bei Ihrer Meldung so viele Informationen wie möglich an. Wenn Sie mehrere Schwachstellen gleichzeitig einreichen möchten, senden Sie bitte nur einen Bericht (nach Möglichkeit den wichtigsten) und warten Sie auf eine Antwort.
Vergütung
Wir freuen uns, eine Prämie für Informationen zu Schwachstellen zu vergeben, die uns helfen, unsere Kunden zu schützen – als Dankeschön an die Sicherheitsforscher, die an unserem Bug-Bounty-Programm teilnehmen. Die reguläre Prämie beträgt 100 $ pro eingereichter und vom Entwicklungsteam verifizierter Schwachstelle.
Nur der erste Melder einer Schwachstelle wird belohnt. Doppelte Meldungen werden nicht vergütet.
Geltungsbereich
Sie dürfen nur gegen ein LiveAgent-Konto testen, für das Sie Kontoinhaber sind oder als Agent vom Kontoinhaber zur Durchführung solcher Tests autorisiert wurden. Zum Beispiel:
- ihredomain.ladesk.com
Belohnte Schwachstellentypen
Wir belohnen Sie für folgende Schwachstellentypen:
- Remote Command Execution (RCE)
- SQL Injection
- Fehlerhafte Authentifizierung
- Fehlerhaftes Sitzungsmanagement
- Umgehung von Zugriffskontrollen
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Offene URL-Weiterleitung
- Directory Traversal
Hinweis: Berichte, bei denen ein Angreifer nur sein eigenes Konto mit Admin-Rolle bedrohen kann, werden nicht vergütet. XSS, das durch einen Admin verursacht wird, wird ebenfalls nicht belohnt.
Um sich zu qualifizieren, muss die Schwachstelle in der neuesten öffentlichen Version (einschließlich offiziell veröffentlichter öffentlicher Betas) der Software bestehen. Es werden nur Sicherheitslücken belohnt. Wir freuen uns, wenn andere Fehler über die entsprechenden Kanäle gemeldet werden, aber da dieses Programm dem Beheben von Sicherheitslücken dient, werden nur Fehler belohnt, die zu Sicherheitslücken führen. Andere Fehler werden nach unserem Ermessen akzeptiert.
Richtlinien
Bitte halten Sie sich an die folgenden Richtlinien, um für eine Belohnung in diesem Programm zur Offenlegung von Schwachstellen in Frage zu kommen:
- Ändern oder löschen Sie keine bei LiveAgent gehosteten Daten dauerhaft.
- Greifen Sie absichtlich nicht auf nicht-öffentliche LiveAgent-Daten zu, außer soweit dies zur Demonstration der Schwachstelle erforderlich ist.
- Führen Sie keine DDoS-Angriffe durch und stören, unterbrechen oder beeinträchtigen Sie unsere internen oder externen Dienste nicht.
- Geben Sie keine vertraulichen Informationen, die Sie von LiveAgent erhalten haben, einschließlich aber nicht beschränkt auf Zahlungsdaten von Mitgliedern oder Spendern, an Dritte weiter.
- Social Engineering ist ausgeschlossen. Versenden Sie keine Phishing-E-Mails und wenden Sie keine anderen Social-Engineering-Techniken gegen irgendjemanden an, einschließlich QualityUnit-Mitarbeiter, Mitglieder, Anbieter oder Partner.
Bitte gewähren Sie uns außerdem mindestens 90 Tage, um die Schwachstelle zu beheben, bevor Sie öffentlich darüber berichten oder bloggen. Unser Team ist der Meinung, dass Sicherheitsforscher das Recht haben, ihre Forschung zu melden, und dass Offenlegung sehr vorteilhaft ist. Wir verstehen, dass es eine sehr subjektive Frage ist, wann und wie Details zurückgehalten werden sollten, um das Risiko eines Missbrauchs von Schwachstelleninformationen zu mindern. Wenn Sie der Meinung sind, dass eine frühere Offenlegung notwendig ist, teilen Sie uns dies bitte mit, damit wir das Gespräch beginnen können.
Änderungsprotokoll
Wir informieren öffentlich über alle behobenen Sicherheitsprobleme über unser Änderungsprotokoll . Sicherheitsrelevante Probleme sind mit dem Tag [Security] gekennzeichnet.
