Odpowiedzialne ujawnianie informacji o lukach w zabezpieczeniach

Data ostatniej aktualizacji zasad: 3 stycznia 2014 r.

Zasady odpowiedzialnego ujawniania informacji o zagrożeniach

Niniejsze informacje są przeznaczone dla testerów zainteresowanych zgłaszaniem znalezionych luk w systemie zabezpieczeń serwisu Netflix naszemu zespołowi informatycznemu. Jeśli jesteś użytkownikiem serwisu Netflix i masz pytania dotyczące oszustw lub szkodliwego oprogramowania, odwiedź następujące strony wsparcia:

Jeśli szukasz informacji na temat swojego konta, rozliczeń lub zawartości strony, skontaktuj się z działem obsługi klienta telefonicznie lub za pośrednictwem czatu.

Jeśli sądzisz, że udało Ci się znaleźć lukę w zabezpieczeniach naszych materiałów lub aplikacji Netflix, prosimy o niezwłoczne poinformowanie nas o tym i nieupublicznianie tej informacji do czasu, aż znajdziemy rozwiązanie problemu. Jesteśmy wdzięczni za pomoc. Wszystkie zgłoszenia są przez nas analizowane i aktywnie pracujemy nad rozwiązaniami problemów. Zgodnie z postulatem odpowiedzialnego ujawniania informacji o zagrożeniach zobowiązujemy się nie podejmować względem ujawniającego kroków prawnych i nie składać doniesienia do organów ścigania, jeśli tylko zaistniałe ujawnienie informacji spełnia kryteria opisane poniżej.

Wytyczne dotyczące odpowiedzialnego ujawniania informacji o zagrożeniach

  • Skontaktuj się z serwisem Netflix i podaj szczegóły luki w zabezpieczeniach. Przed upublicznieniem informacji o zagrożeniu daj nam czas na analizę problemu i znalezienie rozwiązania.
  • Opisz szczegółowo lukę w zabezpieczeniach, aby ułatwić nam jej identyfikację i umożliwić odtworzenie warunków jej występowania. Informacje na temat luki powinny obejmować m.in. docelowe adresy URL, zestawienia zgłoszeń/odpowiedzi, zrzuty ekranowe oraz inne informacje.
  • Zweryfikujemy Twój e-mail i sprawdzimy, czy luka faktycznie występuje i jest powtarzalna. Jeśli potwierdzimy istnienie luki, zaczniemy szukać rozwiązania problemu i będziemy informować Cię o postępie prac.
  • Staraj się, aby Twoje działania nie zagrażały stabilności pracy serwisu (ataki typy DoS), prywatności użytkowników (jeśli uzyskujesz dostęp do danych użytkowników serwisu Netflix) ani integralności danych.
  • Nie żądaj zapłaty za zgłaszanie luk od firmy Netflix ani serwisów komercyjnych związanych z zabezpieczeniami.
  • Nie podszywaj się pod pracowników serwisu Netflix ani jego klientów.
  • Nie uruchamiaj zautomatyzowanych narzędzi skanujących i nie wysyłaj nam generowanych przez nie raportów, nie sprawdziwszy, czy problem faktycznie występuje. Narzędzia związane z zabezpieczeniami często zwracają tzw. błędy pierwszego rodzaju (ang. false positive), które powinny zostać zweryfikowane przez osobę zgłaszającą.

Preferowane kategorie luk w zabezpieczeniach

Interesują nas głównie następujące kategorie luk w zabezpieczeniach:

  • Ataki XSS (ang. Cross Site Scripting)
  • Ataki CSRF (ang. Cross Site Request Forgery)
  • Ataki SQLi (ang. SQL Injection)
  • Problemy z uwierzytelnianiem
  • Problemy z autoryzacją
  • Ujawnianie danych
  • Ataki związane z przekierowywaniem
  • Zdalne wykonywanie kodu
  • Luki i problemy niemieszczące się w podanych kategoriach

Kategorie luk w zabezpieczeniach poza kręgiem naszych zainteresowań

Wymienione poniżej kategorie luk w zabezpieczeniach znajdują się poza zakresem programu odpowiedzialnego ujawniania informacji o zagrożeniach, a osoby je zgłaszające nie mogą liczyć na umieszczenie na liście testerów zabezpieczeń.

  • Luki w zabezpieczeniach SSL związane z konfiguracją lub wersją
  • Ataki DoS (ang. Denial of Service)
  • Odgadywanie nazw użytkowników
  • Algorytmy siłowe (ang. brute force)
  • Brak flagi zabezpieczeń w przypadku plików cookie innych niż poufne
  • Brak flagi HTTPOnly
  • Ataki CSRF (ang. Cross Site Request Forgery) przy próbie wylogowania
  • Problemy dotyczące starych/wygaszanych wersji przeglądarek/wtyczek
  • Aktywna metoda HTTP TRACE
  • Zgłoszenia dotyczące znanych numerów wersji serwerów internetowych, usług lub platform programistycznych
  • Ataki Clickjacking na stronach bez mechanizmów uwierzytelniania lub zmian stanów poufności
  • Zgłoszenia, których zweryfikowanie wymagałoby szerokiej współpracy z użytkownikiem i wykonania mało prawdopodobnych lub nieuzasadnionych czynności, które mogłyby raczej sugerować próby podszywania się pod inne osoby a nie wskazywać luki w zabezpieczeniach. Przykłady: wyłączanie zabezpieczeń przeglądarki, wysyłanie osobie atakującej informacji niezbędnych do przeprowadzenia ataku, kierowanie działaniami użytkownika i zachęcanie go do wprowadzania szkodliwego kodu itp.).

Jak zgłosić lukę w zabezpieczeniach

Aby zgłosić lukę w zabezpieczeniach serwisu Netflix, wyślij e-mail na adres security-report@netflix.com. Jeśli chcesz zaszyfrować e-mail, użyj klucza PGP znajdującego się poniżej.

Klucz PGP

-----BEGIN PGP PUBLIC KEY BLOCK-----
Comment: GPGTools - https://gpgtools.org
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=Mwb9
-----END PGP PUBLIC KEY BLOCK-----

Testerzy zabezpieczeń — 2017

Firma Netflix pragnie podziękować następującym testerom za udział w naszym programie odpowiedzialnego ujawniania błędów zabezpieczeń.

  • Sumit Sahoo (@54H00)
  • Suyog Palav (@SuyogPalav555)
  • Maurice Dibbets
  • Jon Bottarini (@jon_bottarini)
  • Dhaval Chauhan (@17haval)
  • Jean St-Laurent (@JeanDebogue)
  • Eusebiu Blindu (@testalways)
  • Akash Saxena (@AkashSaxena21)
  • Joshua Hnat
  • Jack Whitton (@fin1te)
  • Warren Doyle (@wdoyle2)
  • Ashish Kumar Agarwal (@ashishag29)
  • Marek Szustak (@mszustak)
  • GwanYeong Kim (@sec_karas)
  • Raad Firas Haddad (@raadfhaddad)
  • Rémy Marot (@R_Marot)
  • Vineet Kumar (@the_real_clown)
  • Wen Bin KONG (@kongwenbin)
  • Dor Shahaf

Testerzy zabezpieczeń – 2016

Firma Netflix pragnie podziękować następującym testerom za udział w naszym programie odpowiedzialnego ujawniania błędów zabezpieczeń.

  • Fredrik Nordberg Almroth (@almroot)
  • Ofer Gayer (@ZigZag_IL)
  • Daniel Bakker (@jackds1986)
  • Ahmed Adel Abdelfattah (@00SystemError00)
  • Mustafa Hasan (@strukt93)
  • Gerardo Venegas (@v0raz)
  • Mikołaj Dądela (@mik01aj)
  • Marwan Medhat (@SpringStatue)
  • Nenad Borovčanin (@nenad_b97)
  • Bernardo Diaz (@bada_77)
  • Caden Sumner (@CadenSumner)
  • David Moore (@grajagandev)
  • Eric Head (@codecancare)
  • Ruslan Bakhvala (@ruslan_bakhvala)
  • Robert Adam (@robertadam0)
  • Brett Buerhaus (@bbuerhaus)
  • Ben Sadeghipour (@NahamSec)
  • Jake Reynolds (@jreynoldsdev)
  • Mohammad Aman Khan (@khn_amn)
  • Keith Gardner (@kreios4004)
  • Anas Falhi (@M0ti0nl3ss_)
  • Jon Bottarini (@jon_bottarini)
  • Teemu Kääriäinen (@NixuTigerTeam
  • Tommy DeVoss (@thedawgyg)
  • David Mann (@stembrain)
  • Anand Bhat (@_anandbhat)
  • Shay Shavit (@Chapakpuk)
  • Djaballah Mohamed Taher (@Djaballah_Med_T)
  • Rakesh Chinna (@rakesh_3895)
  • Naftali Rosenbaum (brak konta w serwisie Twitter)
  • Arne Swinnen (@arneswinnen)
  • David Wind (@slashcrypto)
  • Michael Carlson (@blainecarlson)
  • Yasin Soliman (@SecurityYasin)
  • Abner Mendoza
  • Phakpoom Chinprutthiwong
  • Suleman Malik (@sulemanmalik_3)
  • Ali Hassan Ghori (@alihasanghauri)

Testerzy zabezpieczeń – 2015

Firma Netflix pragnie podziękować następującym testerom za udział w naszym programie odpowiedzialnego ujawniania błędów zabezpieczeń.

  • Fredrik Nordberg Almroth (@almroot)
  • Jonathan Conerly
  • Ali Hassan Ghori (@alihasanghauri)
  • Behrouz Sadeghipour i Patrik Fehrenbach (@NahamSec)
  • Stephen Tomkinson (@neonbunny9)
  • David Dworken (@ddworken)
  • White Rabbitz (GER)
  • Christopher Presley (@The_Beard_Lives)
  • @insaneasusual
  • Mo'men Basel (@MomenBassel)
  • jamm0 (@jamm0us)
  • MentaL (@ragezone)
  • Frank B. Vickers (@SarccastikDude)
  • Ashar Javed (@soaj1664ashar)
  • Abdel Hafid Ait Chikh (@HafidAitChikh)
  • Guillaume Prieur (@gplaurin)
  • Jesse Clark (@Hogarth45_ND)
  • Ryan Preston (@ripr4p)
  • Mikael Byström (@gsocgsoc)
  • Tod Beardsley (@todb)

Testerzy zabezpieczeń – 2014

Firma Netflix pragnie podziękować następującym testerom za udział w naszym programie odpowiedzialnego ujawniania błędów zabezpieczeń.

  • Ali Hassan Ghori (@alihasanghauri)
  • Cameron Crowley (@crowley_cam)
  • S. Venkatesh (@PranavVenkatS)
  • Rodolfo Godalle, Jr. (@rodgodalle)
  • Garrett Calpouzos (@GCalps)
  • Guillermo Gabarrín (@ggabarrin9)
  • Kamil Sevi (@kamilsevi)
  • Waqeeh Ul Hasan (@dowaqeeh)
  • Jared Perry (@jared_perry)
  • Robert Williamson (@bobbyman3)
  • Burak Bakir (@pr3d1c7)
  • Andrew Neculaesei (@neculaesei)
  • Ketan Sirigiri (@Cigniti)
  • Gineesh George (@g1n1_influenza)
  • Dan Singerman (@dansingerman)
  • Kenneth F. Belva (@infosecmaverick)
  • Akbar Qureshi (@_AkbarQ)
  • Web Plus
  • Ch. Muhammad Osama (@ChMuhammadOsama)
  • Nitin Goplani (@nitingoplani88)
  • Marcin Piosek (@piochu)
  • Abderrazak YS. (@Y33OULS)
  • Han Lee (@_hanlee)
  • Caleb Watt (@calebwatt15)
  • Krishna Chaitanya Kadaba (@cigniti)
  • Gustavo de Oliveira (@highustavo)
  • Sergio Galán (@NaxoneZ)
  • Rafael Pablos
  • kminthant (@psxchotic)
  • Louis Nadeau (@cybpoulet)
  • Kyle Davidson (@X942_Dev)
  • Robert Verderame (@robertverderame)
  • Olivier Beg (@smiegles)
  • Tim Jenson (@timFGO)
  • Robert Daniel (@_drxp)
  • Danish Tariq
  • Justin Kennedy (@jstnkndy)
  • Christopher Presley (@The_Beard_Lives)
  • Malte Batram (@_batram)
  • David Middlehurst (@dtmsecurity)
  • Francisco Correa (@panchocosil)
  • Mohamed Abdelbaset Elnoby (@SymbianSyMoh)
  • Jack (@linkcabin)
  • David Vieira-Kurz (@secalert)

Testerzy zabezpieczeń – 2013

Firma Netflix pragnie podziękować następującym testerom za udział w naszym programie odpowiedzialnego ujawniania błędów zabezpieczeń.

  • Paul Scott
  • Jack W (@fin1te)
  • Murat Suljovic
  • Rakan Alotaibi (@hxteam)
  • Reginaldo Silva (@reginaldojsf)
  • Rafay Baloch (@rafaybaloch)
  • Kamil Sevi (@kamilsevi)
  • Chiragh Dewan (@ChiraghDewan)
  • Frans Rosén
  • Sabari Selvan (@EHackerNews)
  • Adam Ziaja (@adamziaja)
  • Yuji Kosuga (@yujikosuga)
  • Emanuel Bronshtein (@e3amn2l)
  • Siddhesh Gawde
  • Malte Batram (@_batram)
  • Ahmad Ashraff (@yappare)
  • Camilo Galdos Aka Dedalo (@SeguridadBlanca)
  • Sergiu Dragos Bogdan
  • Aditya K. Sood (@AdityaKSood)
  • Mohankumar Vengatachalam (@vimokumar)
  • Johnathan Kuskos (@johnathankuskos)
  • Evgueni Erchov (@EErchov)
  • Dylan S. Hailey (@TibitXimer)
  • Rajat Bhargava
  • Ehraz Ahmed (@securityexe)
  • Abhinav Karnawat (w4rri0r)
  • Ajay Singh Negi (@AjaySinghNegi)
  • Peter Jaric (@peterjaric)
  • David Hoyt (@cloudscan)
  • Tarek Siddiki
  • Devesh Bhatt (@deveshbhatt11)
  • Defencely @Defencely
  • Matt Ashburn @mattashburn
  • Yaroslav Olejnik - O.J.A. (@oja_c7s)
  • Rupesh Reddy ( _hck3r )
  • Stewart Anderson (@StewieMAnderson)
  • Florindarck (@QuisterTow)
  • Ali Hassan Ghori (@alihasanghauri)
  • Muhammad Shahmeer (@Shahmeer_Amir)