سونیا به عنوان یک فروشگاه زنجیرهای، امنیت اطلاعات مشتریان را در قلب فعالیتهای خود قرار داده است؛ ما از محققان امنیتی دعوت میکنیم تا با گزارش مسئولانه آسیبپذیریها، به ما کمک کنند تا محیطی امن و مطمئن برای خرید آنلاین و حضوری مشتریان فراهم کنیم.
ما آسیب پذیری های گزارش شده را بررسی می کنیم و در اسرع وقت به شما پاسخ می دهیم.
ما تلاش خواهیم کرد تا همه آسیب پذیری های امنیتی واجد شرایط را در اسرع وقت برطرف کنیم.
تا زمانی که از خط مشی افشای آسیب پذیری ما پیروی کنید، علیه شما اقدام قانونی انجام نخواهیم داد - به "بخش 3: بندر امن قانونی" مراجعه کنید .
ما از داده های شخصی شما منحصراً به منظور پردازش آسیب پذیری گزارش شده شما استفاده خواهیم کرد.
ما در حال حاضر برنامه جایزه باگ ارائه نمی دهیم و بنابراین از نظر مالی به گزارش ها پاداش نمی دهیم، اما مایلیم از کمک شما در بهبود امنیت خود با بیان عمومی همکاری مثبت خود با SONIA در صفحه "تالار مشاهیر" ما در صورتی که اولین نفری باشید که یک آسیب پذیری واجد شرایط را گزارش کنید و ما آن را برطرف کرده ایم.
ما از همه محققان امنیت می خواهیم که ...
برای جلوگیری از رویدادهای ناخواسته، به ویژه نقض حریم خصوصی، تخریب خدمات ما، اختلال در سیستم های تولید و تخریب داده ها، با حسن نیت و با احتیاط بسیار عمل کنید.
تحقیقات امنیتی را فقط در محدوده انجام دهید - بخش 4 "در محدوده" و بخش 5 "خارج از محدوده" را ببینید .
فقط از روش ها یا تکنیک هایی استفاده کنید که برای تأیید آسیب پذیری ها ضروری هستند. از آسیب پذیری ها فراتر از اثبات مفهوم سوء استفاده نکنید.
داده هایی را که مالک آنها نیستید یا حق دسترسی به آنها را ندارید، اصلاح و حذف نکنید (در صورت امکان حساب های آزمایشی خود را ایجاد کنید یا محتوای آزمایشی خود را برای جلوگیری از تأثیرگذاری بر کاربران واقعی ایجاد کنید.
هیچ داده خطرناکی (مثلاً درب پشتی) را آپلود نکنید.
سعی نکنید به مقادیر غیرضروری از داده ها (مثلاً یک تا ده به جای 1000 رکورد) دسترسی پیدا کنید.
کد/فرمان های خطرناک را اجرا نکنید: (به عنوان مثال "whoami" به جای "sudo rm -rf").
اطلاعات کافی ارائه دهید تا آسیب پذیری قابل تایید و بازتولید باشد. اثبات مفاهیم قدردانی می شود (به عنوان مثال قطعه کد، دستورالعمل های گام به گام، فیلم ها).
هر گونه آسیب پذیری را که کشف کرده اید به موقع گزارش دهید.
فقط از کانال های رسمی برای تماس اولیه با ما استفاده کنید - بخش 6 "گزارش آسیب پذیری ها" را ببینید .
اطلاعات مربوط به آسیبپذیریهایی که کشف کردهاید را تا زمانی که مشکل را حل نکردهایم محرمانه نگه دارید. این مانع از اطلاع رسانی یک آسیبپذیری به اشخاص ثالثی که آسیبپذیری مستقیماً به آنها مربوط است، نمیشود، اما گروه امنیتی سونیا نباید در چنین گزارشهایی ارجاع داده شود.
داده های بازیابی شده را به محض اینکه دیگر مورد نیاز نیست و حداکثر یک ماه پس از رفع آسیب پذیری، هرکدام زودتر رخ دهد، حذف کنید، مگر اینکه توسط قانون تنظیم شده باشد.
هنگام انجام تحقیقات امنیتی بر اساس این سیاست، این تحقیق را به صورت زیر در نظر می گیریم:
با توجه به هر گونه قوانین ضد هک قابل اجرا مجاز است، و ما اقدام قانونی علیه شما را برای نقض تصادفی و حسن نیت این خط مشی آغاز نمی کنیم یا از شما حمایت نمی کنیم.
با توجه به قوانین ضد دور زدن مربوطه مجاز است و ما ادعایی علیه شما برای دور زدن کنترلهای فناوری نخواهیم داشت.
از محدودیتهای موجود در خطمشی استفاده قابل قبول ما که در انجام تحقیقات امنیتی تداخل ایجاد میکند معاف هستیم، و ما از این محدودیتها به صورت محدود چشم پوشی میکنیم.
قانونی است، برای امنیت کلی اینترنت مفید است و با حسن نیت انجام می شود.
از شما انتظار می رود که تمام قوانین قابل اجرا را رعایت کنید. اگر اقدام قانونی توسط شخص ثالثی علیه شما آغاز شود و شما از این سیاست پیروی کردهاید، اقداماتی را انجام خواهیم داد تا بدانیم اقدامات شما مطابق با این خطمشی انجام شده است.
اگر در هر زمان نگرانی دارید یا مطمئن نیستید که آیا تحقیقات امنیتی شما با این خط مشی مطابقت دارد، لطفاً قبل از ادامه کار با ما تماس بگیرید.
هر مشکل طراحی یا پیاده سازی که محرمانه بودن یا یکپارچگی خدمات ما را تحت تاثیر قرار دهد در محدوده است. نمونه های رایج عبارتند از:
نقص احراز هویت یا مجوز
اسکریپت بین سایتی (XSS)
جعل درخواست بین سایتی (CSRF)
گنجاندن فایل های محلی یا راه دور (LFI، RFI)
جعل درخواست سمت سرور (SSRF)
تزریق قالب سمت سرور (SSTI)
تزریق SQL (SQLI)
اجرای کد از راه دور (RCE)
موجودیت خارجی XML (XXE)
همه وبسایتها و برنامههای تلفن همراه گروه امنیتی سونیا که به این خطمشی پیوند میدهند، در محدوده فعالیت هستند. مگر اینکه خلاف آن ذکر شده باشد، زیر دامنه ها در محدوده نیستند.
هیچ آزمایشی را انجام ندهید که باعث کاهش خدمات گروه امنیتی سونیا شود، مانند انکار سرویس، یا اسکن خودکار سنگین.
حملات مهندسی اجتماعی از جمله فیشینگ را انجام ندهید.
هیچ حمله فیزیکی انجام ندهید.
حرکت جانبی و پس از بهره برداری را پس از بهره برداری اولیه انجام ندهید.
تمام سیستم هایی که در بخش 4.2 "سیستم های درون محدوده" فهرست نشده اند، خارج از محدوده هستند. در شک با ما تماس بگیرید.