גילוי אחראי

גם אנחנו חוקרי אבטחה, ולכן מתייחסים ברצינות לדיווחים על המערכות שלנו. אם לדעתכם מצאתם פגיעות במערכת של TechRS — נשמח לשמוע.

מדיניות זו חלה רק על מערכות TechRS המפורטות בסעיף היקף. היא מסבירה איך לדווח על פגיעות, למה אפשר לצפות מאיתנו, ואיזו הגנה אנחנו מעניקים לחוקרים הפועלים בתום לב. המדיניות אינה מתירה בדיקה של שום מערכת אחרת — לרבות מערכות של הלקוחות שלנו.

איך לדווח על פגיעות

שלחו דוא"ל לכתובת [email protected] עם שורת הנושא Security report. אפשר לכתוב לנו בעברית או באנגלית. נא לכלול:

• תיאור של הפגיעות ושל סוגה (למשל stored XSS או IDOR);
• הכתובת (URL), נקודת הקצה, הפרמטר או הרכיב שנפגעו;
• הוראות שחזור מפורטות, צעד אחר צעד;
• ההשפעה — מה תוקף יכול להשיג בפועל;
• הוכחת היתכנות (PoC), כגון בקשות ותגובות HTTP, סקריפט או צילומי מסך;
• איך תרצו שנזכה אתכם בקרדיט, או שאתם מעדיפים להישאר בעילום שם.

אנא אל תכללו מידע אמיתי של משתמשים מעבר למינימום הדרוש להמחשת הבעיה, והשחירו כל מידע אחר. אם הדיווח כולל פרטים שאתם מעדיפים לא לשלוח בדוא"ל רגיל, ציינו זאת בהודעה ראשונה, ונתאם יחד דרך מאובטחת להעביר אותם.

למה אפשר לצפות מאיתנו

• נשתדל לאשר את קבלת הדיווח בתוך 3 ימי עסקים.
• נעדכן אתכם בזמן שאנחנו מאמתים את הבעיה ועובדים על תיקון, ונודיע לכם כשהיא נפתרה. אם נגיע למסקנה שהדיווח מחוץ להיקף או שאין מדובר בפגיעות, נסביר לכם מדוע.
• לאחר התיקון, נזכה אתכם בקרדיט פומבי — אם תרצו בכך.

היקף

בתוך ההיקף

• techrs.co.il
• www.techrs.co.il

ההיקף כולל את שתי גרסאות השפה של האתר ואת כל התכונות שלו, לרבות לוח הפגיעויות, טופס יצירת הקשר, הניוזלטר, ההתחברות לחשבון והתגובות.

מחוץ להיקף

המערכות והפעולות הבאות אינן מכוסות במדיניות זו, ואין לבדוק אותן:

• שירותי צד שלישי שאנחנו משתמשים בהם — לרבות Cloudflare, ספקי הדואר האלקטרוני והאחסון שלנו, ו-HackerOne עצמה (בעיות בשירותים אלה יש לדווח לבעליהם);
• כל דומיין או מערכת שאינם מפורטים תחת "בתוך ההיקף", לרבות מערכות של הלקוחות שלנו;
• הנדסה חברתית או פישינג נגד עובדי TechRS;
• תקיפות פיזיות נגד המשרדים, העובדים או הציוד שלנו;
• מתקפות מניעת שירות (DoS), ובדיקות עומס, נפח או לחץ;
• הצפת הטפסים שלנו בספאם או ניסיונות ניחוש בכוח (brute force), לרבות טופס יצירת הקשר, טופס הניוזלטר וטופס ההתחברות.

כמו כן, איננו מקבלים דיווחים מהסוגים הבאים:

• פלט של סורקים אוטומטיים ללא השפעה מוכחת;
• היעדר כותרות אבטחה (HTTP headers) או דגלי עוגיות המומלצים כ"פרקטיקה טובה", ללא ניצול מוכח;
• Clickjacking בעמודים שאין בהם פעולות רגישות;
• Self-XSS;
• זיוף בקשות בין-אתרי (CSRF) בפעולת ההתנתקות;
• חשיפת גרסאות תוכנה, למשל בבאנרים או בכותרות, ללא ניצול עובד.

כללי התנהגות

• בדקו רק מול חשבונות שבבעלותכם. ההרשמה הפתוחה לאתר סגורה כעת, ולכן אם אתם צריכים חשבון כדי לבדוק תכונות הדורשות התחברות, פנו אלינו קודם בדוא"ל. לעולם אל תיכנסו לחשבון של משתמש אחר.
• אל תגשו למידע ואל תשנו מידע מעבר למה שדרוש כדי להמחיש את הבעיה, ועצרו ברגע שהמחשתם אותה. אם נתקלתם במידע אישי, בפרטי גישה או במידע רגיש אחר — אל תשמרו ואל תשתפו אותו, וציינו זאת בדיווח.
• אל תבססו אחיזה קבועה: בלי דלתות אחוריות, web shells או נקודות אחיזה אחרות, ובלי להשתמש בפגיעות כדי לעבור למערכות אחרות.
• אל תפגעו בזמינות השירות עבור אחרים, ושמרו על קצב נמוך וסביר בכל בדיקה אוטומטית.
• שמרו את הפרטים בסוד עד שנתקן את הבעיה או עד שיחלפו 90 יום ממועד הדיווח — המוקדם מביניהם — ותאמו איתנו כל פרסום פומבי.

הגנה משפטית לחוקרים (Safe Harbor)

כשאתם מבצעים מחקר פגיעויות בתום לב ובהתאם למדיניות זו, אנחנו רואים במחקר:

• פעולה מורשית, לרבות לעניין חוק המחשבים, התשנ"ה–1995, וחוקים דומים במדינות אחרות — לא ננקוט נגדכם הליכים משפטיים ולא נפנה בעניינכם לרשויות אכיפת החוק בגינו, לרבות בשל הפרות מקריות של מדיניות זו שנעשו בתום לב;
• פעולה הפטורה מכל הגבלה בתנאי השימוש שלנו שהייתה אוסרת אותה אחרת — אנחנו מוותרים על הגבלות אלה לצורך זה בלבד;
• פעולה חוקית, התורמת לאבטחת האינטרנט כולו ונעשית בתום לב.

עדיין מצופה מכם לפעול בהתאם לכל דין. אם צד שלישי ינקוט נגדכם הליך משפטי בגין פעילות שנעשתה בהתאם למדיניות זו, נבהיר שהפעולות שלכם היו מורשות לפי מדיניות זו.

אנחנו יכולים להתיר מחקר רק במערכות שבבעלותנו. שירותי צד שלישי, כגון אלה המפורטים תחת "מחוץ להיקף", כפופים למדיניות של בעליהם. אם בשלב כלשהו אינכם בטוחים שהמחקר שלכם תואם את המדיניות, שאלו אותנו בכתובת [email protected] לפני שאתם ממשיכים.

סעיף זה מבוסס על תנאי הליבה של disclose.io, המתפרסמים תחת רישיון CC0 1.0.

תגמול והוקרה

כרגע איננו מפעילים תוכנית bug bounty בתשלום עבור האתר שלנו, ולכן איננו יכולים להציע תגמול כספי. עם זאת, נשמח להודות לחוקרים בפומבי — בשם, בכינוי או בקישור, לבחירתכם — לאחר שהבעיה תוקנה.

security.txt

פרטי הקשר שלנו לענייני אבטחה מתפרסמים גם בפורמט קריא למכונה בכתובת /.well-known/security.txt, בהתאם ל-RFC 9116.

גם אנחנו חוקרים

ב-TechRS אנחנו מחפשים באגים בתוכניות bug bounty ציבוריות — אפשר למצוא אותנו ב-HackerOne. איננו מפעילים שם תוכנית עבור המערכות שלנו, ולכן אנא שלחו דיווחים על TechRS בדוא"ל, כמתואר לעיל.

שינויים במדיניות

אנו עשויים לעדכן מדיניות זו מעת לעת. התאריך בראש העמוד מציין מתי עודכנה לאחרונה.