LiveAgent Bug-Bounty-Programm

Programm für die Offenlegung der Schwachstellen

LiveAgent strebt danach, den Service für jeden sicher zu gestalten. Die Datensicherheit ist unsere höchste Priorität. Unser Programm für die Offenlegung der Schwachstellen soll den Einfluss verringern, den jegliche Sicherheitsfehler unserer Tools auf Nutzer haben. Das Programm für die Offenlegung der Schwachstellen von LiveAgent beinhaltet Software, die teilweise oder hauptsächlich von Quality Unit erstellt wurde.

Wenn Sie Sicherheitsforscher sind und eine Sicherheitsschwachstelle entdeckt haben, würden wir Ihnen dankbar sein, wenn Sie uns dies privat melden und uns die Möglichkeit geben, das Problem zu beheben, bevor die technischen Details veröffentlicht werden.

LiveAgent ist bereit bei der Meldung einer Schwachstelle mit Sicherheitsforschern zusammenzuarbeiten. Wir verifizieren, beantworten und beheben Schwachstellen, um die Sicherheit und den Datenschutz zu gewährleisten. Wir werden keine rechtlichen Schritte gegen Personen einleiten, sie sperren oder ihren Zugriff auf den Dienst beenden, wenn Sicherheitsschwachstellen entdeckt und verantwortungsvoll gemeldet werden. LiveAgent behält im Falle einer Zuwiderhandlung alle Rechte vor.

Berichterstattung

Teilen Sie die Details über eine vermutete Schwachstelle mit dem LiveAgent-Entwicklerteam auf support@liveagent.com. Bitte geben Sie diese Details nicht ohne ausdrückliche Genehmigung außerhalb dieses Vorganges weiter. Bitte beinhalten Sie in der Meldung jeglicher vermuteter Schwachstellen so viele Informationen wie möglich. Wenn Sie gleichzeitig mehrere Meldung einreichen möchten, senden Sie bitte nur eine Meldung (wenn möglich, die wichtigste) und warten Sie auf eine Antwort.

Kompensation

Wir freuen uns anzukündigen, dass wir Entlohnungen für die Sammlung von Informationen über Schwachstellen, welche uns bei dem Schutz unserer Kunden helfen, anbieten dürfen. Dies geschieht dank der Sicherheitsforscher, die an diesem Bug-Bounty-Programm teilnehmen. Die Standard-Entlohnung beträgt €50 für jede Schwachstelle, die eingesendet und von unserem Entwicklerteam verifiziert wurde.

Wir entlohnen nur die erste Meldung einer Schwachstelle. Doppelte Meldungen werden nicht entlohnt.

Umfang

Sie dürfen nur LiveAgent-Konten testen, von welchen Sie der Kontoinhaber sein oder ein Angestellter sein, der von dem Kontoinhaber berechtigt wurde, solche Tests durchzuführen. Zum Beispiel:

• *ihrdomain*.ladesk.com

Wir bieten Belohnungen für die folgenden Arten von Schwachstellen an:

• Remote Command Execution (RCE)
• SQL-Injection
• Unterbrochene Authentifizierung
• Unterbrochene Sitzungsverwaltung
• Umgehung von Zugriffskontrollen
• Cross-Site Scripting (XSS)
• Cross-Site Request Forgery (CSRF)
• Offene URL-Umleitung
• Directory Traversal

Berichte darüber, dass ein Angreifer in der Administratorenrolle nur sein eigenes Konto gefährden kann, werden nicht entlohnt. XSS, die durch einen Administrator entstehen, werden nicht entlohnt.

Für die Qualifikation muss sich die Schwachstelle in der aktuellsten veröffentlichten Version (inklusive offiziell veröffentlichter Beta-Versionen) der Software befinden. Es sind nur Sicherheitsschwachstelle gültig. Wir freuen uns darüber, wenn uns Nutzer durch die verfügbaren Kanäle über Probleme Bescheid geben. Der Zweck dieses Programmes ist es jedoch, Sicherheitsschwachstelle zu beheben, daher sind nur Bugs, die zu Sicherheitsschwachstellen führen, gültig und werden entlohnt. Andere Bugs werden nach unserem Ermessen ebenfalls akzeptiert.

Richtlinien

Bitte halten Sie sich an die folgenden Richtlinien, damit wir Sie für die Entlohnung in diesem Programm in Betracht ziehen können

• Führen Sie keine permanenten Änderungen oder Löschungen der von LiveAgent gehosteten Daten durch.
• Greifen Sie nicht absichtlich auf mehr private LiveAgent-Daten zu als notwendig, um die Schwachstelle zu demonstrieren.
• Führen Sie keine DDoS durch und stören, unterbrechen oder schwächen Sie unsere internen oder externen Dienste nicht.
• Teilen Sie keine vertraulichen Informationen von LiveAgent, inklusive, aber nicht beschränkt auf Informationen über Mitglieder oder Spendenzahlungen mit einer dritten Person.
• Social engineering ist nicht im Anwendungsbereich. Senden Sie keine Phishing-E-Mails zu und verwenden Sie keine Engineering-Methoden gegen andere Personen, inklusive Mitarbeiter von QualityUnit, Verkäufer oder Partner.

Bitte geben Sie uns mindestens 90 Tage Zeit, um die Schwachstelle zu beheben, bevor sie öffentlich diskutiert oder in einem Blog veröffentlicht wird. Unser Team ist der Meinung, dass Sicherheitsforscher das Recht haben, ihre Recherche mit anderen zu teilen und dass dies vorteilhaft ist. Wir verstehen, dass die Frage danach, wann und wie Details zurückgehalten werden sollten, um Risiken des Missbrauches über Informationen über Schwachstellen zu vermeiden, äußert subjektiv ist.

Änderungsprotokoll

Wir veröffentlichen Informationen über behobene Sicherheitsprobleme in unserem Änderungsprotokoll. Sicherheitsprobleme werden mit der Markierung [Sicherheit] versehen.