Responsible disclosure

NightHall is nog niet uitgegeven, en deze pagina bestaat eerder dan nodig is in plaats van daarna. Een onderzoeker die een probleem vindt moet kunnen lezen wat er met de melding gebeurt zonder die eerst te versturen.

Waar je het stuurt

security@nighthall.io is het beveiligingsadres. Het staat ook in /.well-known/security.txt, en dat is het bestand dat een scanner of een melder leest zonder ons eerst te vragen, zodat de twee niet uiteenlopen.

Zolang dat adres nog een invulveld is, bereikt het algemene adres info@litenova.solutions dezelfde persoon. Zet in de onderwerpregel dat het een beveiligingsmelding is, zodat het niet als een supportvraag wordt behandeld.

Wat je stuurt

• Wat het probleem is, in een zin waarmee iemand iets kan doen.
• Hoe je het reproduceert, liefst als de kleinste aanroep die het laat zien.
• Wat een aanvaller ermee zou kunnen doen, en wat niet.
• Welk oppervlak het betreft: de winkel, het dashboard, de scanner voor de deur, het controlepaneel, de API, of deze website.
• Of iemand het al weet, en of het ergens gepubliceerd is.

Wat je mag verwachten

• Een ontvangstbevestiging binnen één werkdag.
• Een beoordeling binnen vijf werkdagen, en een inschatting van wat er nu gebeurt.
• Een oplossing vóór openbaarmaking, of een afgesproken datum waarop die komt.
• Erkenning in het wijzigingslogboek of de release-opmerkingen als de melder dat wil, en een plek om naar te verwijzen als de melder van het probleem.

Wat van de melder wordt gevraagd

• Geen openbaarmaking voordat de oplossing er is, en nooit vóór een afgesproken datum.
• Geen toegang tot gegevens die niet nodig zijn om het probleem te tonen. Een bewijs van concept op synthetische gegevens overtuigt even goed als een op echte kopergegevens.
• Geen denial of service, geen blijvende toegang, en geen sociale manipulatie van organisatoren of kopers.
• Een redelijk termijn om te reageren. Negentig dagen vanaf de ontvangstbevestiging is de normale verwachting.

De termijn

Wordt een probleem niet binnen negentig dagen na de ontvangstbevestiging opgelost, dan mag het worden gepubliceerd. Dat is een grens en geen dreiging, en NightHall wordt liever laat door een melder gevonden dan nooit.

Wat buiten bereik valt

• Een ontbrekende beveiligingsheader op een pagina die geen cookie plaatst en geen invoer aanneemt.
• Het ontbreken van een beveiligingsheader die geen effect heeft op een statische pagina die geen invoer aanneemt om te injecteren.
• Een snelheidslimiet die bestaat en gedocumenteerd is, waar het om het precieze getal gaat en niet om het ontbreken ervan.
• Zelfbeschadiging, spam, en meldingen over de eigen inhoud van een organisator, wat van de organisator is en op de pagina contentklachten hoort.