Vulnerability Disclosure Program
Naglalayong panatilihing ligtas ng LiveAgent ang serbisyo para sa lahat, at ang seguridad ng data ay napakahalaga. Ang aming Vulnerability Disclosure Program ay naglalayong mabawasan ang epekto ng anumang security flaws sa aming mga tool o sa kanilang mga user. Ang Vulnerability Disclosure Program ng LiveAgent ay sumasaklaw sa software na bahagi o pangunahing isinulat ng Quality Unit.
Kung ikaw ay isang security researcher at natuklasan mo ang isang security vulnerability sa Service, pinahahalagahan namin ang iyong tulong sa pagsasahayong ibunyag ito sa amin nang pribado at bigyan kami ng pagkakataon na ayusin ito bago ilabas ang mga teknikal na detalye.
Makikipag-ugnayan ang LiveAgent sa mga security researcher kapag ang mga vulnerabilities ay naiulat sa amin tulad ng inilarawan dito. Magpapatunay kami, tumutugon, at magsasaayos ng mga vulnerabilities bilang suporta sa aming pangako sa seguridad at privacy. Hindi kami magsasagawa ng legal action laban sa, suspindihin, o wakasan ang access sa Service ng mga nagtuklas at nag-ulat ng mga security vulnerabilities nang responsable. Nagreserba ang LiveAgent ng lahat ng kanyang legal rights sa kaganapan ng anumang noncompliance.
Pag-ulat
Ibahagi ang mga detalye ng anumang pinagsisiwalaang vulnerabilities sa LiveAgent Development Team sa support@liveagent.com . Mangyaring huwag ipahayag ang mga detalyeng ito nang publiko sa labas ng prosesong ito nang walang tahasang pahintulot.
Sa pag-ulat ng anumang pinagsisiwalaang vulnerabilities, mangyaring isama ang kasing dami ng impormasyon hangga’t maaari. Kung nais mong magsumite ng maraming ulat nang sabay-sabay, mangyaring magsumite lamang ng isang ulat (ang pinakamahalagang kung posible) at maghintay ng tugon.
Kompensasyon
Masaya kaming mag-alok ng bounty para sa vulnerability information na tumutulong sa amin na protektahan ang aming mga customer bilang pasasalamat sa mga security researchers na pumili na lumahok sa aming bug bounty program. Ang regular na bounty reward ay $100 bawat vulnerability na isinumite at napatunayang ng aming development team.
Gantimpalaan lamang namin ang unang nag-ulat ng isang vulnerability. Ang mga duplicate reports ay hindi matatanggap ng reward.
Saklaw
Maaari lamang kang subukan laban sa isang LiveAgent Account kung saan ikaw ang Account Owner o isang Agent na awtorisado ng Account Owner upang magsagawa ng ganitong pagsusulit. Halimbawa:
- yourdomain.ladesk.com
Rewarded Vulnerability Types
Gantimpalaan ka namin para sa mga sumusunod na uri ng vulnerabilities:
- Remote Command Execution (RCE)
- SQL Injection
- Broken Authentication
- Broken Session Management
- Access Control Bypass
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Open URL Redirection
- Directory Traversal
Paalala: Ang mga ulat kung kailan ang isang attacker ay maaaring lamang magbanta sa kanyang sariling account na may Admin role lamang ay hindi matatanggap ng bounty. Ang XSS na dulot ng isang Admin ay hindi matatanggap ng bounty.
Upang maging karapat-dapat, ang vulnerability ay dapat na umiiral sa pinakabagong public release (kasama ang opisyal na inilabas na public betas) ng software. Lamang ang security vulnerabilities ang magiging karapat-dapat. Mamahalin namin kung ang mga tao ay nag-ulat ng ibang bugs sa pamamagitan ng naaangkop na channels, ngunit dahil ang layunin ng programang ito ay ayusin ang mga security vulnerabilities, lamang ang mga bugs na nagreresulta sa security vulnerabilities ang magiging karapat-dapat para sa rewards. Ang ibang bugs ay tatanggapin sa aming discretion.
Mga Gabay
Mangyaring sumunod sa mga sumusunod na gabay upang maging karapat-dapat para sa rewards sa ilalim ng disclosure program na ito:
- Huwag permanenteng baguhin o tanggalin ang LiveAgent hosted data.
- Huwag siyang mag-access ng non-public LiveAgent data nang higit pa sa kinakailangan upang ipakita ang vulnerability.
- Huwag mag-DDoS o sa ibang paraan na magabala, magpigil o magbawas ng aming internal o external services.
- Huwag ibahagi ang confidential information na nakuha mula sa LiveAgent, kasama ngunit hindi limitado sa member o donor payment information, sa anumang third party.
- Ang social engineering ay wala sa saklaw. Huwag magpadala ng phishing emails sa, o gumamit ng ibang social engineering techniques laban sa, sinuman, kasama ang QualityUnit staff, members, vendors, o partners.
Bilang karagdagan, mangyaring bigyan kami ng hindi bababa sa 90 araw upang ayusin ang vulnerability bago ipubliko ang pagtalakay o mag-blog tungkol dito. Naniniwala ang aming team na ang mga security researchers ay may karapatan na mag-ulat ng kanilang pananaliksik at na ang disclosure ay lubhang kapaki-pakinabang, at nauunawaan na ito ay isang lubhang subjective na tanong kung kailan at paano dapat panatilihin ang mga detalye upang mabawasan ang panganib na ang vulnerability information ay misisulong. Kung naniniwala ka na ang mas maagang disclosure ay kinakailangan, mangyaring ipaalam sa amin upang magsimula kami ng isang pag-uusap.
Change Log
Ipinagkukuwento namin nang publiko ang lahat ng naayos na security issues sa pamamagitan ng aming change log . Ang mga isyung nauugnay sa security ay minarkahan ng tag [Security].
