Programma voor Kwetsbaarheidsmelding
LiveAgent streeft ernaar haar dienst voor iedereen veilig te houden, en dataveiligheid is van het grootste belang. Ons Programma voor Kwetsbaarheidsmelding is bedoeld om de impact van eventuele beveiligingsfouten op onze tools of hun gebruikers te minimaliseren. Het Programma voor Kwetsbaarheidsmelding van LiveAgent heeft betrekking op software die geheel of gedeeltelijk is geschreven door Quality Unit.
Als je een beveiligingsonderzoeker bent en een beveiligingslek in de service hebt ontdekt, waarderen wij het als je deze privé aan ons meldt en ons de kans geeft het probleem te verhelpen voordat technische details openbaar worden gemaakt.
LiveAgent werkt samen met beveiligingsonderzoekers wanneer kwetsbaarheden aan ons worden gemeld zoals hier beschreven. Wij zullen de melding valideren, reageren en kwetsbaarheden oplossen ter ondersteuning van onze toewijding aan veiligheid en privacy. Wij zullen geen juridische stappen ondernemen tegen, of de toegang tot de service opschorten of beëindigen van degenen die op verantwoorde wijze beveiligingslekken ontdekken en melden. LiveAgent behoudt al haar wettelijke rechten in het geval van niet-naleving.
Melden
Deel de details van vermoedelijke kwetsbaarheden met het LiveAgent Development Team via support@liveagent.com . Gelieve deze details niet openbaar te maken buiten dit proces zonder expliciete toestemming.
Vermeld bij het melden van vermoedelijke kwetsbaarheden zo veel mogelijk informatie. Als je meerdere meldingen tegelijk wilt doen, dien dan slechts één melding in (bij voorkeur de belangrijkste) en wacht op een reactie.
Beloning
Wij zijn verheugd een beloning te bieden voor informatie over kwetsbaarheden die ons helpt onze klanten te beschermen, als dank aan de beveiligingsonderzoekers die deelnemen aan ons bug bounty programma. De reguliere beloning is $100 per gemelde en door ons development team geverifieerde kwetsbaarheid.
Alleen de eerste melder van een kwetsbaarheid wordt beloond. Dubbele meldingen worden niet beloond.
Scope
Je mag alleen testen uitvoeren op een LiveAgent-account waarvan je de eigenaar bent, of waarbij je als agent door de accounteigenaar gemachtigd bent om dergelijke tests uit te voeren. Bijvoorbeeld:
- uwdomein.ladesk.com
Beloonde kwetsbaarheidstypen
Wij belonen je voor de volgende typen kwetsbaarheden:
- Remote Command Execution (RCE)
- SQL-injectie
- Gebroken authenticatie
- Gebrekkig sessiebeheer
- Omzeiling van toegangscontrole
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Open URL-omleiding
- Directory Traversal
Let op: Meldingen waarbij een aanvaller alleen zijn eigen account met Admin-rol kan bedreigen, komen niet in aanmerking voor een beloning. XSS veroorzaakt door een Admin wordt niet beloond.
Om in aanmerking te komen, moet de kwetsbaarheid bestaan in de laatste publieke release (inclusief officieel vrijgegeven publieke bèta’s) van de software. Alleen beveiligingslekken komen in aanmerking. We ontvangen graag meldingen van andere bugs via de daarvoor bestemde kanalen, maar aangezien het doel van dit programma is om beveiligingslekken te verhelpen, komen alleen bugs die tot beveiligingsproblemen leiden in aanmerking voor beloningen. Andere bugs worden naar eigen inzicht geaccepteerd.
Richtlijnen
Houd je aan de volgende richtlijnen om in aanmerking te komen voor beloningen onder dit meldingsprogramma:
- Wijzig of verwijder geen LiveAgent-gehoste data permanent.
- Benader niet-beschikbare LiveAgent-data niet opzettelijk meer dan strikt noodzakelijk is om de kwetsbaarheid aan te tonen.
- Voer geen DDoS uit of verstoor, onderbreek of degradeer onze interne of externe diensten niet op andere wijze.
- Deel geen vertrouwelijke informatie verkregen van LiveAgent, waaronder maar niet beperkt tot betaalinformatie van leden of donateurs, met derden.
- Social engineering valt buiten de scope. Stuur geen phishing-e-mails en gebruik geen andere social engineering-technieken tegen wie dan ook, waaronder medewerkers van QualityUnit, leden, leveranciers of partners.
Geef ons daarnaast minimaal 90 dagen om de kwetsbaarheid op te lossen voordat je deze openbaar bespreekt of erover blogt. Ons team gelooft dat beveiligingsonderzoekers het recht hebben hun bevindingen te delen en dat openbaarmaking zeer waardevol is, en begrijpt dat het een subjectieve kwestie is wanneer en hoe details te onthouden om het risico van misbruik van kwetsbaarheidsinformatie te beperken. Als je denkt dat eerdere openbaarmaking noodzakelijk is, laat het ons weten zodat we hierover in gesprek kunnen gaan.
Wijzigingslog
Wij informeren publiekelijk over alle verholpen beveiligingsproblemen via ons wijzigingslog . Problemen die betrekking hebben op beveiliging zijn gemarkeerd met het label [Security].
