Jak nahlásit bezpečnostní problém?

V SatoshiLabs a Trezor je bezpečnost našich produktů a služeb naprostou prioritou. Pokud jste objevili bezpečnostní zranitelnost, velmi oceníme, pokud nám ji sdělíte zodpovědným způsobem.

Proces je jednoduchý: jednoduše nahlaste jakékoli zranitelnosti, které objevíte, prostřednictvím zodpovědného zveřejnění. Jakmile budou potvrzeny, veřejně oceníme váš přínos tím, že vás uvedeme v našem seznamu minulých problémů a odměníme vás bounty vyplacenou v Bitcoinu.

Požadavky

Pro účast v našem bug bounty programu požadujeme, aby výzkumníci dodržovali následující pravidla:

• Jednejte v dobré víře a udělejte vše pro ochranu uživatelských i firemních dat před únikem či zničením.
• Dejte nám rozumný čas na opravu jakýchkoli problémů před jejich zveřejněním.
• Během procesu objevování neprovádějte podvody vůči našim uživatelům ani nám.

Nebudeme podnikat právní kroky proti výzkumníkům, kteří hlásí problémy, pokud se budou co nejlépe řídit těmito pravidly.

Vyhrazujeme si však právo určit, zda je nahlášená chyba legitimní a dostatečně závažná pro udělení bounty.

Můžeme také proaktivně uzavírat potenciální bezpečnostní zranitelnosti v našem softwaru, i když aktuálně nejsou zneužívány. To znamená, že na základě oznámení můžeme upravit náš kód, i když daný problém nelze využít k útoku. Za čistě teoretické zranitelnosti bounty nenabízíme, přesto si vyhrazujeme právo je opravit. Abychom prokázali, že se jedná o skutečnou zranitelnost, vyžadujeme funkční ukázku exploitu.

Relevantní témata

1. Extrakce soukromého klíče z Trezoru.
2. Oklamání Trezoru, aby potvrdil akci bez zásahu uživatele.
3. Obcházení ochrany PIN kódem/Passphrase u Trezoru.
4. Oklamání Trezoru ke spuštění nepodepsaného Firmware bez varování.
5. XSS nebo CSRF na suite.trezor.io nebo trezor.io.
6. Získání uživatelských informací z backendů Trezor Suite.

Prosíme, nehlaste:

• Zranitelnosti na stránkách hostovaných třetími stranami (Medium, Twitter, Facebook, Cloudflare atd.)
• Útoky typu Denial of Service

Chcete-li nahlásit bezpečnostní zranitelnost, kontaktujte prosím přímo náš bezpečnostní tým s následujícími informacemi:

• Kód: Důkaz konceptu demonstrující problém.
• Detailní popis: Důkladné vysvětlení chyby a jejího možného dopadu.
• Vaše jméno/přezdívka a odkaz na vaše stránky (volitelné): Pro uvedení v našem seznamu minulých problémů
• Bitcoinová adresa: Kam si přejete zaslat bounty odměnu.

Kontaktujte nás na tomto e-mailu: [email protected]. Pokud to považujete za citlivou záležitost, poskytneme vám instrukce k nastavení šifrovaného kanálu v aplikaci Signal.

Děkujeme, že nám pomáháte udržovat naše produkty a služby bezpečné pro všechny uživatele!