Πολιτική Ασφάλειας

Παίρνουμε στα σοβαρά την ασφάλεια του YourImageShare και των ανθρώπων που το χρησιμοποιούν. Αν εντοπίσατε μια ευπάθεια ασφαλείας, σας ευχαριστούμε που μας ενημερώνετε. Σε αυτή τη σελίδα εξηγούμε πώς να την αναφέρετε, τι μπορείτε να περιμένετε από εμάς και ποιοι κανόνες ισχύουν για ασφαλείς δοκιμές.

1. Πώς να αναφέρετε μια ευπάθεια

Στείλτε email στο [email protected] ή χρησιμοποιήστε τη φόρμα επικοινωνίας και ξεκινήστε το θέμα με τη λέξη "Security". Παρακαλούμε μην αναφέρετε ευπάθειες σε δημόσιους χώρους (GitHub issues, σχόλια, μέσα κοινωνικής δικτύωσης) πριν διορθωθούν.

Παρακαλούμε συμπεριλάβετε:

• μια περιγραφή του προβλήματος και του τι θα μπορούσε να κάνει ένας επιτιθέμενος εκμεταλλευόμενος το πρόβλημα·
• τα ακριβή βήματα, τις διευθύνσεις URL και τα αιτήματα που χρειάζονται για να αναπαραχθεί (ένα proof of concept είναι ευπρόσδεκτο)·
• το τμήμα που επηρεάζεται: σελίδα του ιστότοπου, API endpoint, επέκταση προγράμματος περιήγησης, πρόσθετο WordPress, SDK, bot·
• με ποιον τρόπο θα θέλατε να αναφερθεί το όνομά σας, αν το επιθυμείτε.

Τα στοιχεία επικοινωνίας μας σε μορφή αναγνώσιμη από μηχανές υπάρχουν στο /.well-known/security.txt.

2. Τι μπορείτε να περιμένετε από εμάς

• Επιβεβαίωση παραλαβής εντός 5 εργάσιμων ημερών.
• Πρώτη αξιολόγηση (αν μπορούμε να το αναπαραγάγουμε και πόσο σοβαρό είναι) εντός 10 εργάσιμων ημερών.
• Διόρθωση ή ενημέρωση για την πορεία εντός 90 ημερών. Τα σοβαρά ζητήματα διορθώνονται όσο πιο γρήγορα μπορούμε, συνήθως πολύ νωρίτερα.
• Συντονισμένη γνωστοποίηση. Παρακαλούμε περιμένετε μέχρι να διορθωθεί το ζήτημα ή να περάσουν 90 ημέρες πριν δημοσιεύσετε λεπτομέρειες. Θα χαρούμε να συμφωνήσουμε μαζί σας μια ημερομηνία.

Είμαστε μια μικρή ομάδα. Θα σας ενημερώνουμε και δεν θα αγνοήσουμε μια έγκυρη αναφορά.

3. Ασφαλές πλαίσιο (safe harbour)

Αν καταβάλλετε προσπάθεια καλής πίστης να ακολουθήσετε αυτή την πολιτική, θεωρούμε την έρευνά σας εξουσιοδοτημένη. Δεν θα προβούμε σε νομικές ενέργειες εναντίον σας ούτε θα σας καταγγείλουμε στις αρχές επιβολής του νόμου γι' αυτήν και δεν θα απενεργοποιήσουμε τον λογαριασμό σας εξαιτίας της. Αν τρίτος προβεί σε νομικές ενέργειες εναντίον σας για έρευνα που ακολούθησε αυτή την πολιτική, θα δηλώσουμε δημόσια ότι η εργασία σας ήταν εξουσιοδοτημένη.

Καλή πίστη σημαίνει ότι:

• κάνετε δοκιμές μόνο με τους δικούς σας λογαριασμούς και τα δικά σας αρχεία ή με λογαριασμούς που έχετε άδεια να χρησιμοποιείτε·
• σταματάτε μόλις φτάσετε σε δεδομένα άλλων ανθρώπων (αρχεία, στοιχεία λογαριασμών, μηνύματα), δεν τα κρατάτε ούτε τα μοιράζεστε και μας ενημερώνετε σε τι αποκτήσατε πρόσβαση·
• δεν υποβαθμίζετε την υπηρεσία για τους άλλους (όχι επιθέσεις άρνησης υπηρεσίας, όχι αυτοματοποιημένες σαρώσεις μεγάλου όγκου, όχι spam)·
• δεν χρησιμοποιείτε κοινωνική μηχανική, phishing ή φυσικές επιθέσεις εναντίον του προσωπικού, των χρηστών ή των παρόχων μας·
• μας δίνετε εύλογο χρόνο να διορθώσουμε το ζήτημα πριν το γνωστοποιήσετε·
• δεν ανεβάζετε ποτέ παράνομο περιεχόμενο, συμπεριλαμβανομένου υλικού σεξουαλικής κακοποίησης παιδιών, για κανέναν λόγο.

Αν δεν είστε βέβαιοι αν κάτι επιτρέπεται, ρωτήστε μας πρώτα στο [email protected].

4. Εντός πεδίου εφαρμογής

• το yourimageshare.com και οι υποτομείς του (για παράδειγμα i.yourimageshare.com και status.yourimageshare.com)·
• το δημόσιο API ανεβάσματος, η τεκμηρίωσή του και τα επίσημα SDK και ο MCP server μας·
• οι επεκτάσεις προγράμματος περιήγησης, το πρόσθετο WordPress και το bot Telegram.

Παραδείγματα όσων θέλουμε να μαθαίνουμε: κατάληψη λογαριασμού, παράκαμψη ελέγχου ταυτότητας ή εξουσιοδότησης, πρόσβαση σε ιδιωτικά αρχεία ή αρχεία με κωδικό πρόσβασης άλλων ατόμων, cross-site scripting που επηρεάζει άλλους χρήστες, cross-site request forgery σε ενέργειες που αλλάζουν δεδομένα, server-side request forgery, injection, απομακρυσμένη εκτέλεση κώδικα και προβλήματα στον τρόπο επεξεργασίας των αρχείων που ανεβαίνουν.

5. Εκτός πεδίου εφαρμογής

Τα παρακάτω δεν αντιμετωπίζονται ως ευπάθειες, εκτός αν μπορείτε να δείξετε πραγματικό αντίκτυπο στους χρήστες:

• ελλείπουσες κεφαλίδες HTTP ή κεφαλίδες "βέλτιστης πρακτικής", σημαίες cookie ή ρυθμίσεις TLS χωρίς λειτουργική επίθεση·
• αναφορές για τη διαμόρφωση SPF, DKIM ή DMARC·
• clickjacking σε σελίδες χωρίς ευαίσθητες ενέργειες·
• self-XSS ή επιθέσεις που απαιτούν πλήρη πρόσβαση στη συσκευή ή στο πρόγραμμα περιήγησης του θύματος·
• όρια ρυθμού (rate limits) σε δημόσιες σελίδες και εντοπισμός ονομάτων χρήστη ή email μέσω δημόσιων προφίλ·
• αναφορές από αυτοματοποιημένους σαρωτές χωρίς επιβεβαιωμένο, αναπαραγώγιμο ζήτημα·
• επιθέσεις άρνησης υπηρεσίας.

6. Το παράνομο ή καταχρηστικό περιεχόμενο δεν είναι αναφορά ασφαλείας

Για να αναφέρετε ένα αρχείο που είναι παράνομο, καταχρηστικό ή παραβιάζει τους Όρους και Προϋποθέσεις μας, χρησιμοποιήστε το κουμπί αναφοράς στο συγκεκριμένο αρχείο ή τη φόρμα αναφοράς. Αυτές οι αναφορές διαχειρίζονται από την ομάδα διαχείρισης περιεχομένου και όχι μέσω της διεύθυνσης ασφαλείας.

7. Ανταμοιβές και αναγνώριση

Δεν διαθέτουμε πρόγραμμα bug bounty με χρηματικές ανταμοιβές. Με την άδειά σας, θα σας ευχαριστήσουμε με το όνομά σας (ή το ψευδώνυμό σας) στις παρακάτω ευχαριστίες και στις σημειώσεις έκδοσης της διόρθωσης.

8. Ευχαριστίες

Ευχαριστούμε τα παρακάτω άτομα που ανέφεραν υπεύθυνα ζητήματα ασφαλείας:

• Δεν έχουν καταγραφεί ακόμη αναφορές.