Как сообщить о уязвимости безопасности или проблеме в Elo

Что включить в ваш отчет

Чтобы помочь нам быстро расследовать и реагировать, пожалуйста, предоставьте следующее:

• Ваше полное имя и контактная информация
  (Предпочтительно по электронной почте, но приемлем любой способ, которым мы можем связаться для уточнения.)

• Подробное описание проблемы, включая:

  • Название затронутого сервиса, продукта или системы Elo

  • Название программного обеспечения, описание и номер версии (если применимо)

  • Пошаговые инструкции для воспроизведения проблемы

  • Техническое описание уязвимости (включите доказательство концепции, если возможно)

  • Потенциальное воздействие или риск, вызванный проблемой

  • Любую другую актуальную информацию, которая может помочь нам подтвердить и решить уязвимость

Политика раскрытия уязвимостей

Рекомендации по ответственному сообщению

Elo ценит и поощряет вклад от клиентов и широкой общественности, чтобы помочь повысить безопасность наших продуктов и услуг. Если вы обнаружили потенциальную уязвимость, мы просим вас действовать ответственно и следовать этим рекомендациям:

• Не пытайтесь получить доступ, изменять или тестировать системы, услуги, продукты или программное обеспечение Elo без надлежащей авторизации.

• Не раскрывайте, не изменяйте, не уничтожайте и не злоупотребляйте любыми данными, с которыми вы столкнулись во время вашего расследования.

• Держите всю информацию, связанную с сообщенной проблемой, строго конфиденциальной, включая коммуникации с Elo.

• Избегайте атак типа «отказ в обслуживании» (DoS) или любого тестирования, которое может повлиять на доступность, целостность или конфиденциальность систем Elo.

• Не участвуйте в социальной инженерии, фишинге или подобных действиях, нацеленных на клиентов или сотрудников Elo.

• Пожалуйста, обратите внимание: Elo не предлагает компенсацию за время, затраченное на обнаружение уязвимостей во время непрошенных тестов или исследований.

Процесс реагирования на уязвимости

Elo следует структурированному процессу для оценки и решения зарегистрированных уязвимостей безопасности.

После первоначального подтверждения Elo предпримет разумные усилия, чтобы ответить в течение 30 дней и подтвердить, была ли зарегистрированная уязвимость:

• Подтверждена и принята, или
• Отклонена
  • Если уязвимость принята, Elo может предоставить необязательный предложенный график смягчения.
  • Если уязвимость отклонена, Elo предоставит мотивацию для отказа и останется открытой для рассмотрения любой дополнительной информации.

После подтверждения и принятия уязвимости инженеры Elo будут работать над разработкой соответствующих аппаратных и/или программных решений.

Elo стремится завершить анализ и внедрить программные решения в течение 90 дней с момента первоначального подтверждения. Однако фактический выпуск решений может занять больше времени из-за таких факторов, как:

• Верхние поставщики имеют разные сроки решения проблем
• Необходимы значительные изменения аппаратного обеспечения или архитектуры
• Ограничения по жизненному циклу продукта или ресурсам
• Интеграция через несколько каналов распространения или экосистем

На собственное усмотрение Elo может периодически публиковать информационные бюллетени по безопасности, чтобы проинформировать общественность о завершенных решениях для затронутых продуктов.

Последние обновления безопасности