Podmínky programu odměn za nahlášení chyb
V Trezoru jsou transparentnost a bezpečnost naší nejvyšší prioritou. Náš zdrojový kód je veřejně dostupný a již mnoho let je podrobován auditům nezávislými bezpečnostními výzkumníky. Díky otevřeným principům a aktivní spolupráci s naší komunitou neustále posilujeme ochranu zařízení, softwaru a infrastruktury Trezor.
Pokud se domníváte, že jste objevili zranitelné místo, které by mohlo významně poškodit zařízení, software nebo infrastrukturu Trezor, nahlašte to na [email protected]. Náš bezpečnostní tým problém ověří, bude s vámi spolupracovat na opravě a odmění první platné oznámení.
Rozsah
Náš Bug Bounty Program zahrnuje náš hardware, software a související infrastrukturu. Zvláště nás zajímají zranitelnosti, které by případně mohly umožnit útočníkům ohrozit zabezpečení Krypto portfolia spravovaného zařízeními Trezor.
- Trezor zařízení a jeho Firmware
- Trezor Suite a Trezor Connect
- Blockbook a související infrastruktura
- Trezor.io e-shop
- Další weby provozované na trezor.io námi
Trezor zařízení a jejich firmware
Tato kategorie zahrnuje zranitelnosti týkající se zejména hardwarových zařízení Trezor, Firmware, fyzického zabezpečení zařízení a integrity dodavatelského řetězce na úrovni zařízení. Tato kategorie je zásadní protože Trezor je v našem modelu hrozeb konečným bodem zabezpečení.
- Zranitelnosti Firmware: Neautorizovaná extrakce nebo injektáž seedu, obejití PIN kódu, vykonání libovolného kódu bez varování Firmware, získání soukromého klíče, obejití potvrzení transakce uživatelem, krádež Krypto portfolia, ztráta možné popiratelnosti, ohrožení soukromí, vzdálené znefunkčnění zařízení.
- Lokální fyzické útoky: Neinvazivní útoky, invazivní útoky bez viditelného narušení (útoky „Evil Maid“), invazivní útoky s viditelným narušením (např. odkrytí čipu).
- Útoky na dodavatelský řetězec: Fyzické nebo softwarové narušení hardwarových zařízení Trezor nebo příslušenství před tím, než se dostanou k uživateli.
- Znefunkčnění zařízení Trezor: Vzdálené útoky, které způsobí, že zařízení Trezor je trvale nepoužitelné.
Odměny
Nejdůležitější jsou pro nás zranitelnosti hardwaru a Firmware. Při posuzování jejich závažnosti vždy velmi pečlivě bereme v úvahu škálovatelnost. Zranitelnost, která nemusí přímo vést ke ztrátě Krypto, ale je velmi dobře škálovatelná a nějakým způsobem snižuje zabezpečení produktu, může být závažnější než obtížně škálovatelný hardwarový útok, kde je třeba mít Trezor fyzicky v držení.
| Třída zranitelnosti | Odměnový cyklus |
|---|---|
| Nízký | $0 – $2 000 |
| Střední | $250 – $5 000 |
| Vysoký | $500 – $10 000 |
| Kritické | $10 000 – $100 000* |
*V mimořádně katastrofických případech není stanoven žádný horní limit.
Aplikace Trezor Suite a Trezor Connect
Tato sekce zahrnuje zranitelnosti ovlivňující Trezor Suite, Trezor Connect (stejné úložiště jako Suite) a všechny související JavaScriptové knihovny a softwarové komponenty.
- Cross-site scripting (XSS): Vkládání škodlivých skriptů do Trezor Suite nebo Trezor Connect.
- Zranitelnosti knihoven třetích stran a dodavatelského řetězce: Škodlivé úpravy nebo zranitelnosti v JavaScriptových knihovnách a závislostech třetích stran integrovaných do Trezor Suite s jasným dopadem na bezpečnost produktu.
- Úpravy dat odesílaných do nebo přijatých z Trezoru: Jakékoliv zranitelnosti, které umožňují změnu dat (např. transakcí a adres) odesílaných do nebo přijatých z Trezoru. Upozorňujeme, že v našem modelu hrozeb předpokládáme, že Hostitel může být plně škodlivý a transakce je nutné potvrdit na displeji Trezoru. Jakékoliv zranitelnosti v Suite budou posuzovány s tímto vědomím.
- Obcházení autentizačních kontrol v Suite: Nové útoky, které poukazují na omezení nebo demonstrují způsoby, jak obejít doporučené autentizační kontroly v Trezor Suite v sérii Trezor Safe. Zvláště nás zajímají chytré nebo nové útoky.
- Zranitelnosti v obchodní sekci: Jakékoli útoky nebo bezpečnostní problémy v našich rozhraních pro koupit/prodat/Swap a nabídky stakingu včetně jejich backendových implementací spravovaných námi.
Odměny
Zařízení Trezor funguje s předpokladem, že Hostitel může být plně škodlivý. Tato témata ale stále bereme vážně, i když náš model hrozeb se liší od běžných softwarových peněženek. Proto mohou být naše možné odměny nižší než u SW peněženek, protože u nich to může vést ke krádeži. V našem případě máme vždy zařízení Trezor jako konečnou ochranu.
| Třída zranitelnosti | Odměnový cyklus |
|---|---|
| Nízký | $0 – $500 |
| Střední | $500 – $1 000 |
| Vysoký | $1 000 – $5 000 |
| Kritické | $5 000 – $20 000 |
Blockbook a další backendová infrastruktura
Tato kategorie zahrnuje zranitelnosti v serverech Blockbook a další kritické backendové infrastruktuře ekosystému Trezor.
- Zneužití serveru Blockbook: Neautorizovaný přístup nebo eskalace oprávnění na serverech Blockbook, vzdálené spuštění kódu s cílením na servery Blockbook, špatná konfigurace (např. špatné nastavení serveru Nginx) umožňující nepovolený přístup k interním zdrojům nebo nechtěné akce.
- Chyby v nastavení backendové infrastruktury: Chybná nastavení firewallu nebo závažné chyby v backendových serverech umožňující přístup k interním službám mimo určená omezení, prokazatelné zranitelnosti umožňující neautorizovaný přístup nebo vzdálené spuštění kódu přes endpointy.
Odměny
Protože neukládáme žádná data uživatelů (kromě logů na velmi omezenou dobu), potenciální útoky na backend nemohou zásadně ohrozit prostředky uživatelů.
| Třída zranitelnosti | Odměnový cyklus |
|---|---|
| Nízký | $0 – $500 |
| Střední | $500 – $1 000 |
| Vysoký | $1 000 – $5 000 |
| Kritické | $5 000 – $10 000 |
Trezor.io
Problémy související s naším e-commerce řešením na trezor.io.
- Cross-site scripting (XSS): Vkládání škodlivých skriptů do Trezor.io.
- Zranitelnosti knihoven třetích stran a dodavatelského řetězce: Škodlivé úpravy nebo zranitelnosti v JavaScriptových knihovnách a závislostech třetích stran integrovaných do Trezor.io, které mohou vést k prokazatelným útokům na bezpečnost.
- Chybná přístupová práva: Jakékoliv útoky umožňující útočníkovi přístup do administrátorského rozhraní.
- Únik citlivých údajů: Únik jakýchkoli osobních informací, citlivých API klíčů nebo přihlašovacích údajů.
- SQL Injection: SQL zranitelnosti umožňující získání citlivých dat útočníky.
- Chybná konfigurace serveru: Nastavení umožňující nepovolený přístup k interním zdrojům nebo nechtěným akcím. Například špatná konfigurace nginx nebo Cloudflare. Viz také sekce „mimo rozsah“ níže.
- Změna platby a objednávek: Manipulace s cenou, zneužití slevy/kupónu nebo získání zboží zdarma pomocí manipulace s košíkem/požadavky. Jakékoliv zneužití věrnostních programů, dárkových karet, referenčních schémat či jiné nestandardní chování při platbě.
Odměny
| Třída zranitelnosti | Odměnový cyklus |
|---|---|
| Nízký | $0 – $500 |
| Střední | $500 – $1 000 |
| Vysoký | $1 000 – $5 000 |
| Kritické | $5 000 – $50 000 |
Další
Jakékoli problémy, které nejsou zmíněné výše a zároveň nejsou vyloučené v plných podmínkách. Obvykle se jedná o weby běžící na *.trezor.io provozované námi.
Problémy mimo rozsah
Následující typy problémů nejsou považovány za relevantní k nahlášení:
- Clickjacking & Tabnabbing: Techniky založené pouze na klamavých rozhraních nebo přesměrováních, které přímo neohrožují zařízení Trezor.
- Phishing nebo útoky sociálního inženýrství: Útoky založené na klamání uživatelů bez využití technických zranitelností. Přestože se jedná o problémy mimo rozsah bug bounty programu, stále uvítáme a oceníme hlášení o Phishingu nebo podvodných webech pro ochranu komunity.
- Chybějící bezpečnostní hlavičky bez proof-of-conceptu: Hlášení o chybějících bezpečnostních HTTP hlavičkách bez funkčního, zneužitelného proof-of-conceptu.
- Automatizovaná hlášení zranitelností: Automatizovaná hlášení bez ručního ověření nebo průkazu zneužitelnosti.
- Nezabezpečené SSL/TLS šifrovací sady, pokud nejsou zneužitelné: Hlášení o slabém nastavení SSL/TLS, pokud nemají prokazatelný dopad na bezpečnost.
- Zastaralé knihovny bez zásadních zranitelností: Hlášení o zastaralých závislostech, pokud nejsou spojené se závažnými a zneužitelnými zranitelnostmi.
Pokyny pro odpovědné zveřejnění
Odesláním zranitelnosti souhlasíte, že nám poskytnete čas na diagnostiku a odstranění problému před sdílením detailů s třetími stranami nebo veřejností.
Pravidla sdílení
- Exploity používejte pouze k ověření existence zranitelností.
- Zranitelnosti musí jasně prokazovat možnost zneužití a skutečný dopad, aby byly způsobilé k odměně.
- Teoretické nezneužitelné zranitelnosti nebo výsledky rutinního skenování bez prokazatelného dopadu nejsou způsobilé pro odměnu.
- Při zaslání hlášení o zranitelnosti souhlasíte s tím, že nám umožníte problém nejprve diagnostikovat a napravit, než jeho detaily zveřejníte třetím stranám nebo veřejnosti. Zveřejnění budeme koordinovat společně.
- Nevykonávejte testování, které degraduje naše systémy nebo zasahuje do uživatelů, vede k neautorizovanému přístupu, ukládání, sdílení nebo ničení dat, zahrnuje sociální inženýrství nebo spam.
- Neneužívejte zranitelnosti nad rámec potřebný pro ověření jejich existence.
- Vyvarujte se Phishingu a sociálního inženýrství našich zaměstnanců nebo spolupracovníků.
Odměny
Můžete mít nárok na odměnu za nahlášení zranitelnosti, pokud jsou splněny následující podmínky:
- Jste první osobou, která zranitelnost nahlásila.
- Váš nález potvrdil bezpečnostní tým.
- Dodrželi jste výše uvedená pravidla.
Odměna bude výzkumníkovi vyplacena přímo v Bitcoinu, dle směnného kurzu USD/BTC v době platby. Pro převzetí odměny je třeba po potvrzení zranitelnosti zaslat platný Lightning Network (LN) invoice nebo Bitcoinovou adresu. Oznámíme vám, kdy je čas zaslat požadavek na platbu. V některých speciálních případech lze na žádost zvážit výplatu v EUR.
Výše odměny
Možné odměny jsou uvedeny výše v jednotlivých sekcích. Výše odměny je určena podle:
- Klasifikace závažnosti
- Dopadu na Krypto portfolio spravované Trezorem.
- Úplnosti vašeho hlášení.
Naší hlavní prioritou jsou útoky, které snižují bezpečnost samotného zařízení Trezor. Ostatní zranitelnosti tedy považujeme za méně závažné. Konečnou výši odměny určuje pouze Trezor.
Průběh žádosti
Chcete-li nahlásit zranitelnost, kontaktujte nás e-mailem na [email protected]. Pokud to považujete za citlivou záležitost, poskytneme vám instrukce k nastavení šifrovaného kanálu v aplikaci Signal.
Požadavky na hlášení
Zahrnuto:
- Podrobný popis zranitelnosti a jejího potenciálního dopadu.
- Jasný postup reprodukce problému (doporučujeme proof-of-concept skripty nebo screenshoty).
- Vysvětlení, jak ovlivňuje Krypto portfolio spravované Trezorem.
- Hlášení je nutné podat v angličtině.
Komunity
Veškerá další komunikace, včetně výměny citlivých údajů, by měla probíhat přes [email protected]. Pokud je potřeba vyšší bezpečnost, domluvíme se na bezpečnějším kanálu, obvykle přes skupinový chat v aplikaci Signal.
Náprava & zveřejnění
Váš nález ověříme, určíme jeho prioritu a následně neprodleně zajistíme jeho nápravu. Budeme vás informovat o průběhu řešení. Zdržte se veřejného zveřejnění, dokud nebude problém zcela vyřešen.
Program uznání autorů
S vaším souhlasem zobrazíme jméno nebo přezdívku jako objevitele nahlášené zranitelnosti na naší stránce poděkování. V případě zájmu můžeme také uvést volitelný odkaz na autora.