سياسة الإفصاح عن الثغرات الأمنية

01مقدمة

1.1.ترحب Duckurity بتلقي البلاغات من مجتمع الباحثين بشأن الثغرات الأمنية في أنظمتنا. وتحدد هذه السياسة كيفية الإبلاغ عن الثغرة، والأنظمة التي تقع ضمن النطاق، والقواعد التي تسري على الاختبار، والالتزامات التي نتعهد بها تجاه الباحثين الذين يلتزمون بها. ويكون للمصطلحات المعرّفة المستخدمة في هذه السياسة دون أن تُعرَّف فيها المعاني المحددة لها في شروط الخدمة الخاصة بنا.

1.2.يخضع اختبار "المختبرات" التدريبية داخل "الأكاديمية" لـسياسة الاستخدام المقبول الخاصة بنا. وتسري هذه السياسة على جميع الأنظمة الأخرى.

02الإبلاغ عن ثغرة أمنية

2.1.يُرجى إرسال البلاغات إلى security@duckurity.com على أن تتضمن ما يلي:

• (أ) وصفًا للثغرة وللنظام المتأثر بها؛
• (ب) الخطوات اللازمة لإعادة إنتاجها؛
• (ج) أثرها المحتمل؛
• (د) الاسم أو "المعرّف" (Handle) الذي ترغب في أن يُنسب إليك الفضل تحته، إن وُجد.

2.2.سنؤكد استلام بلاغك خلال 3 أيام عمل، ونقدم تقييمًا أوليًا خلال 10 أيام عمل، ونُخطرك عند معالجة الثغرة.

03النطاق

3.1.تقع العناصر التالية ضمن النطاق:

• (أ) academy.duckurity.com، بما في ذلك نظام تسجيل الدخول وواجهة برمجة التطبيقات (API) الخاصين به؛
• (ب) duckurity.com؛
• (ج) أي وسيلة للإفلات من "جلسة" "المختبر"، بما في ذلك الوصول من داخل "جلسة" إلى "جلسة" مستخدم آخر، أو إلى البنية التحتية التي تُشغّل "المختبرات"، أو إلى تطبيق "الأكاديمية"، أو إلى الإنترنت؛
• (د) عمليات إرسال البريد الإلكتروني الخاصة بنا، بما في ذلك انتحال رسائل بريد إلكتروني على أنها صادرة من نطاقاتنا.

3.2.تقع العناصر التالية خارج النطاق:

• (أ) الثغرات المتضمَّنة في "المختبرات" بحكم تصميمها؛
• (ب) الأنظمة التي يشغّلها مقدمو الخدمات المدرجون في صفحة المعالجين الفرعيين الخاصة بنا، والتي ينبغي الإبلاغ عنها إلى المزوّد المعني؛
• (ج) هجمات حجب الخدمة، واختبارات التحميل، والرسائل غير المرغوب فيها (spam)؛
• (د) الهندسة الاجتماعية التي تستهدف موظفينا أو مستخدمينا، والهجمات المادية؛
• (هـ) النتائج التي لا يترتب عليها أثر أمني يمكن إثباته، مثل غياب ترويسات الأمان (security headers) منفردًا، أو الإفصاح عن إصدارات البرمجيات، أو المخرجات غير المتحقق منها الصادرة عن أدوات الفحص الآلي؛
• (و) هجمات اختطاف النقرات (clickjacking) على الصفحات التي لا تتضمن إجراءات حساسة، وهجمات تزوير الطلبات عبر المواقع التي تستهدف تسجيل الخروج.

04قواعد المشاركة

4.1.عند إجراء البحث، يجب عليك:

• (أ) ألا تستخدم إلا الحسابات التي أنشأتها بنفسك؛
• (ب) ألا تصل إلى البيانات العائدة للغير أو تعدّلها أو تحذفها. وإذا صادفت مثل هذه البيانات، فيجب عليك التوقف، وألا تحتفظ إلا بالحد الأدنى اللازم لإثبات المشكلة، وأن تبلغنا بها؛
• (ج) ألا تتسبب في تدهور أداء "الخدمة" بالنسبة إلى المستخدمين الآخرين؛
• (د) أن تحذف أي بيانات حصلت عليها أثناء بحثك بمجرد تقديم بلاغك؛
• (هـ) أن تمنحنا مهلة 90 يومًا لمعالجة الثغرة قبل أي إفصاح علني، ما لم نتفق على خلاف ذلك. وإذا احتجنا إلى مزيد من الوقت، فسنوضح لك السبب.

05الحماية القانونية للباحثين (Safe Harbor)

5.1.إذا تصرفت بحسن نية ووفقًا لهذه السياسة، فسنعتبر بحثك مصرحًا به. ولن نباشر أي إجراء قانوني ضدك، ولن نبلغ عنك جهات إنفاذ القانون، فيما يتعلق بذلك البحث، بما في ذلك بموجب قانون مكافحة جرائم تقنية المعلومات رقم 175 لسنة 2018 في مصر، أو القوانين المماثلة في أماكن أخرى. وإذا باشر طرف ثالث إجراءً قانونيًا ضدك فيما يتعلق ببحث أُجري وفقًا لهذه السياسة، فسنبيّن أن بحثك كان مصرحًا به.

5.2.لا تسري هذه الحماية القانونية للباحثين إلا على الأنظمة التي تشغّلها Duckurity. ولا يمكننا التصريح باختبار الأنظمة التي تشغّلها أطراف ثالثة.

06التقدير

6.1.لا نُدير حاليًا برنامجًا مدفوعًا لمكافآت اكتشاف الثغرات. وبعد الحصول على إذنك، سننوّه بمساهمتك علنًا.

07التواصل

يجوز إرسال البلاغات الأمنية والاستفسارات المتعلقة بهذه السياسة إلى security@duckurity.com.