Bezbednosna politika

Bezbednost servisa YourImageShare i ljudi koji ga koriste shvatamo ozbiljno. Ako ste pronašli bezbednosnu ranjivost, hvala vam što nas obaveštavate. Na ovoj stranici objašnjavamo kako da je prijavite, šta možete da očekujete od nas i koja pravila važe za bezbedno testiranje.

1. Kako da prijavite ranjivost

Pošaljite e-poruku na [email protected] ili koristite kontakt formular i počnite naslov rečju „Security“. Molimo vas da ranjivosti ne prijavljujete na javnim mestima (GitHub issues, komentari, društvene mreže) pre nego što budu ispravljene.

Molimo vas da navedete:

• opis problema i šta bi napadač mogao da uradi zahvaljujući njemu;
• tačne korake, URL-ove i zahteve potrebne da se problem reprodukuje (dokaz koncepta je dobrodošao);
• deo koji je pogođen: stranica sajta, API endpoint, ekstenzija za pregledač, WordPress dodatak, SDK, bot;
• na koji način želite da budete pomenuti, ako uopšte želite.

Naše kontakt podatke u mašinski čitljivom obliku možete naći u datoteci /.well-known/security.txt.

2. Šta možete da očekujete od nas

• Potvrda prijema u roku od 5 radnih dana.
• Prva procena (da li možemo da reprodukujemo problem i koliko je ozbiljan) u roku od 10 radnih dana.
• Ispravka ili izveštaj o statusu u roku od 90 dana. Ozbiljni problemi se ispravljaju što je brže moguće, obično mnogo ranije.
• Koordinisano objavljivanje. Molimo vas da sačekate da problem bude ispravljen, ili da prođe 90 dana, pre nego što objavite detalje. Rado ćemo se s vama dogovoriti oko datuma.

Mi smo mali tim. Obaveštavaćemo vas o toku i nećemo ignorisati valjanu prijavu.

3. Zaštita istraživača (safe harbour)

Ako se u dobroj nameri trudite da poštujete ovu politiku, smatramo da je vaše istraživanje ovlašćeno. Zbog toga nećemo preduzimati pravne korake protiv vas niti vas prijavljivati organima gonjenja, i nećemo zbog toga blokirati vaš nalog. Ako treća strana preduzme pravne korake protiv vas zbog istraživanja koje je poštovalo ovu politiku, javno ćemo potvrditi da je vaš rad bio ovlašćen.

Dobra namera znači da:

• testirate samo sa svojim nalozima i svojim otpremljenim datotekama, ili sa nalozima koje imate dozvolu da koristite;
• prestanete čim dođete do tuđih podataka (otpremljene datoteke, podaci o nalogu, poruke), ne zadržavate ih niti delite, i obavestite nas čemu ste pristupili;
• ne ometate rad servisa za druge (bez napada uskraćivanjem usluge, bez automatizovanog skeniranja velikog obima, bez spama);
• ne koristite socijalni inženjering, fišing ni fizičke napade protiv našeg osoblja, korisnika ili pružalaca usluga;
• nam date razumno vreme da ispravimo problem pre nego što ga objavite;
• nikada, ni iz kog razloga, ne otpremate nezakonit sadržaj, uključujući materijal seksualnog zlostavljanja dece.

Ako niste sigurni da li je nešto dozvoljeno, prvo nas pitajte na [email protected].

4. Obuhvaćeno

• yourimageshare.com i njegovi poddomeni (na primer i.yourimageshare.com i status.yourimageshare.com);
• javni API za otpremanje, njegova dokumentacija i naši zvanični SDK-ovi i MCP server;
• naše ekstenzije za pregledač, WordPress dodatak i Telegram bot.

Primeri onoga o čemu želimo da čujemo: preuzimanje naloga, zaobilaženje autentifikacije ili autorizacije, pristup tuđim privatnim otpremljenim datotekama ili datotekama zaštićenim lozinkom, cross-site scripting koji utiče na druge korisnike, cross-site request forgery kod radnji koje menjaju podatke, server-side request forgery, injekcije, udaljeno izvršavanje koda i problemi u načinu obrade otpremljenih datoteka.

5. Nije obuhvaćeno

Sledeće ne tretiramo kao ranjivosti, osim ako možete da pokažete stvaran uticaj na korisnike:

• nedostajuća HTTP zaglavlja ili zaglavlja „najbolje prakse“, oznake kolačića ili TLS podešavanja bez funkcionalnog napada;
• izveštaji o SPF, DKIM ili DMARC konfiguraciji;
• clickjacking na stranicama bez osetljivih radnji;
• self-XSS ili napadi koji zahtevaju potpun pristup uređaju ili pregledaču žrtve;
• ograničenja učestalosti zahteva na javnim stranicama i otkrivanje korisničkih imena ili e-adresa preko javnih profila;
• izveštaji automatizovanih skenera bez potvrđenog problema koji se može reprodukovati;
• napadi uskraćivanjem usluge.

6. Nezakonit ili uvredljiv sadržaj nije bezbednosna prijava

Da biste prijavili otpremljeni sadržaj koji je nezakonit, uvredljiv ili krši naše Uslove korišćenja, koristite dugme za prijavu na stavci ili naš formular za prijavu. Takve prijave obrađuje naš tim za moderaciju, a ne preko bezbednosne adrese.

7. Nagrade i pominjanje

Nemamo plaćeni program nagrađivanja za pronalazak grešaka (bug bounty). Uz vašu dozvolu, zahvalićemo vam se imenom (ili nadimkom) u zahvalnicama ispod i u beleškama o izdanju u kojem je ispravka objavljena.

8. Zahvalnice

Zahvaljujemo sledećim osobama koje su odgovorno prijavile bezbednosne probleme:

• Još nijedna prijava nije pomenuta.