Ova stranica je automatski prevedena s engleskog. Pročitaj original na engleskom
Sigurnosna politika
Ako pronađeš sigurnosni problem na idzan.hr, molim te da mi se prvo javiš privatno, pa ću raditi s tobom na njegovom rješavanju. Ova stranica objašnjava šta možeš testirati, kako to prijaviti i šta možeš očekivati zauzvrat od mene.
idzan.hr je lična web stranica koju vodi jedna osoba. To je statična stranica s malim privatnim adminskim dijelom. Izvještaje čitam i obrađujem ja, Marko Idžan.
Opseg
Samo je idzan.hr u opsegu. Usluge koje pokreću druge kompanije su izvan opsega, čak i kada ih idzan.hr koristi.
U opsegu
- Javna web stranica na https://idzan.hr i njene stranice
- Adminski dio stranice, ako naiđeš na njega (molim te nemoj pokušavati pogađati ili nasilno ulaziti)
- Sigurnosna zaglavlja, kolačići i traka za saglasnost s kolačićima, kada ranjivost ima stvarni uticaj
Izvan opsega
- Usluge koje vode drugi: hosting provajder, CDN i DNS provajder, provajderi e-pošte i društvene mreže povezane sa stranice. Prijavi probleme tamo tim kompanijama.
- Uskraćivanje usluge (DoS), testiranje opterećenja ili stres testiranje i neželjena pošta (spam)
- Socijalni inženjering, phishing ili fizički napadi na mene ili bilo koga drugog
- Izvještaji automatskih skenera bez dokaza da se problem može iskoristiti
- Nedostatak preporučenih zaglavlja ili postavki bez vidljivog uticaja
- Clickjacking na stranicama bez osjetljivih radnji
- Self-XSS ili problemi koji zahtijevaju već kompromitovan uređaj ili pretraživač
- Brojevi verzija softvera ili baneri sami po sebi
- Postavke e-pošte (SPF, DKIM, DMARC) osim ako ne pokažeš funkcionalan napad lažiranjem (spoofing)
- Ograničenja stope (rate limits) na javnim stranicama koje ništa ne mijenjaju
Kako prijaviti
Pošalji izvještaj e-poštom na marko@idzan.hr ili marko.idzan@protonmail.com, s naznakom „Security“ u naslovu. Piši na engleskom ili hrvatskom jeziku.
Dobar izvještaj sadrži:
- Adresu stranice (URL) i šta je zahvaćeno
- Korake za reprodukciju problema
- Šta bi napadač mogao učiniti s tim (uticaj)
- Dokaz koncepta, kao što su snimci ekrana, kratak video ili zahtjev koji si poslao/la
- Tvoje ime ili nadimak, ako želiš da ti se javno zahvalim
Za slanje šifrovanog izvještaja koristi PGP ključ naveden na https://idzan.hr/.well-known/security.txt. Slanje s Proton Mail adrese na marko.idzan@protonmail.com takođe se automatski šifruje.
Molim te nemoj prijavljivati sigurnosne probleme na javnim mjestima, kao što su društvene mreže ili javna skladišta koda (code repositories).
Pravila za testiranje
Testiraj pažljivo i stani čim dokažeš da problem postoji.
Molim te da
- Koristiš samo vlastite testne podatke i račune
- Držiš automatske alate sporima, na najviše nekoliko zahtjeva u sekundi
- Preineš testiranje i odmah prijavljeješ ako dođeš do podataka nekog drugog ili adminskog dijela
- Izbrišeš sve podatke koje si dobio/la tokom testiranja kada se problem riješi
- Ostaviš mi razumno vrijeme da riješim problem prije nego što o njemu govoriš javno
Molim te da ne
- Pokušavaš se prijaviti s pogođenim ili ukradenim lozinkama, ili napadati dvofaktorsku prijavu
- Mijenjaš, brišeš ili kopiraš podatke čiji nisi vlasnik
- Uploadaš zlonamjerni softver (malware) ili ostavljaš bekdore (backdoors) ili testne datoteke na serveru
- Usporiš stranicu ili je oboriš
- Kršiš zakon, uključujući zakone Hrvatske i EU
Šta se dešava nakon prijave
Cilj mi je odgovoriti u roku od 3 radna dana i riješiti potvrđene probleme u roku od 90 dana. Ozbiljni problemi se rješavaju prvi.
Korak | Ciljano vrijeme |
|---|---|
Potvrđujem da sam primio tvoj izvještaj | U roku od 3 radna dana |
Provjeravam problem i kažem ti da li je potvrđen | U roku od 10 radnih dana |
Rješavam potvrđeni problem | Što je brže moguće, u roku od 90 dana |
Dogovaramo se o javnoj objavi | Nakon što ispravka bude aktivna |
Ovo je stranica jedne osobe, tako da odgovor može potrajati duže tokom praznika. Ako ne dobiješ odgovor u roku od 10 radnih dana, pošalji kratak podsjetnik.
Pratim koordinisano objavljivanje. Kada ispravka bude aktivna, slobodno možeš pisati o problemu. Molim te da prvo provjeriš datum sa mnom i izostaviš lične podatke drugih ljudi.
Sigurna luka (Safe harbor)
Ako pratiš ovu politiku u dobroj vjeri, neću poduzeti pravne korake protiv tebe niti te prijaviti vlastima za tvoje istraživanje.
Dobra vjera znači da ostaješ u okviru opsega, pratiš gornja pravila i ono što pronađeš prijaviš mi privatno. Ovo obećanje pokriva samo idzan.hr. Ne pokriva usluge drugih kompanija i ne obavezuje nikog drugog. Ako nisi siguran/a da li je nešto dozvoljeno, pitaj me prvo.
Nagrade i zahvale
Ne postoji plaćena nagrada za bugove (bug bounty): idzan.hr je lična stranica bez budžeta za to. Molim te nemoj tražiti plaćanje prije ili u zamjenu za izvještaj.
Ako želiš, zahvalit ću ti se po imenu ili nadimku na listi zahvala na ovoj stranici, nakon što se problem riješi. Reci mi u svom izvještaju kako bi volio/la da te imenovanjem navedem, ili da li više voliš ostati anoniman/a.
Tvoj izvještaj i tvoji podaci
Tvoj izvještaj čuvam u tajnosti i koristim tvoje podatke samo za njegovo rješavanje. Neću dijeliti tvoje ime ili e-poštu bez tvog odobrenja. Više o tome kako se postupa s ličnim podacima nalazi se u Izjavi o privatnosti.
Izmjene ove politike
Mogu povremeno ažurirati ovu politiku. Datum na vrhu pokazuje najnoviju verziju, a datoteka security.txt uvijek upućuje na nju.