Как сообщить о уязвимости в системе безопасности или проблеме в Elo

Что включить в ваш отчет

Чтобы помочь нам быстро провести расследование и реагировать, пожалуйста, предоставьте следующее:

• Ваше полное имя и контактная информация
  (Предпочтительно по электронной почте, но приемлем любой способ, который мы можем использовать для обратной связи.)

• Подробное описание проблемы, включая:

  • Название затронутого сервиса, продукта или системы Elo

  • Название программного обеспечения, его описание и номер версии (если применимо)

  • Пошаговые инструкции для воспроизведения проблемы

  • Техническое описание уязвимости (при возможности включите доказательство концепции)

  • Потенциальное воздействие или риск, вызванный проблемой

  • Любая другая релевантная информация, которая может помочь нам подтвердить и решить уязвимость

Политика раскрытия уязвимостей

Рекомендации по ответственному сообщению

Elo ценит и поощряет вклад клиентов и широкой общественности для повышения безопасности наших продуктов и услуг. Если вы обнаружили потенциальную уязвимость, мы просим вас действовать ответственно и следовать этим рекомендациям:

• Не принимайте доступ, не модифицируйте и не тестируйте системы, услуги, продукты или программное обеспечение Elo без соответствующего разрешения.

• Не раскрывайте, не изменяйте, не уничтожайте и не злоупотребляйте любыми данными, с которыми вы столкнетесь в ходе своего расследования.

• Все сведения, связанные с сообщенной проблемой, должны оставаться строго конфиденциальными, включая коммуникации с Elo.

• Избегайте атак типа «отказ в обслуживании» (DoS) или любых тестов, которые могут повлиять на доступность, целостность или конфиденциальность систем Elo.

• Не участвуйте в социальных манипуляциях, фишинге или подобных действиях, нацеленных на клиентов или сотрудников Elo.

• Обратите внимание: Elo не предоставляет компенсацию за время, потраченное на выявление уязвимостей в ходе непрошеных тестирований или исследований.

Процесс реакции на уязвимости

Elo следует структурированному процессу для оценки и устранения сообщенных уязвимостей в области безопасности.

После первоначального подтверждения Elo предпримет разумные усилия для ответа в течение 30 дней с целью подтвердить, была ли сообщенная уязвимость:

• Подтверждена и принята, или
• Отклонена
  • Если уязвимость принята, Elo может предоставить неbinding прогноз по срокам смягчения.
  • Если уязвимость отклонена, Elo предоставит обоснование отклонения и останется открытой для рассмотрения любой дополнительной информации.

Как только уязвимость будет подтверждена и принята, инженеры Elo будут работать над разработкой соответствующих аппаратных и/или программных решений.

Elo стремится завершить анализ и реализовать программные решения в течение 90 дней с момента первоначального подтверждения. Однако фактический выпуск решений может быть отложен из-за таких факторов, как:

• Разные сроки решения проблем у поставщиков верхнего уровня
• Необходимость существенных изменений в аппаратном обеспечении или архитектуре
• Ограничения в жизненном цикле продукта или ресурсах
• Интеграция через несколько каналов распределения или экосистем

Elo по своему усмотрению может периодически публиковать информационные бюллетени о безопасности для информирования общественности о выполненных мерах по смягчению затронутых продуктов.

Последние обновления безопасности