Ansvarsfull sårbarhetsredovisning

Denna policy uppdaterades 2014-01-03.

Policy gällande sårbarhetsredovisning

Informationen på den här sidan är avsedd för säkerhetsanalytiker som är intresserade av att rapportera säkerhetsproblem till Netflix säkerhetsteam. Om du är Netflix-medlem och har frågor om bedrägeri eller malware, läs följande supportsidor:

Om du är kund och letar information om ditt konto, fakturering eller webbplatsens innehåll, kontakta kundsupport via telefon eller livechatt.

Om du tror att du har upptäckt en säkerhetsrisk i en egendom eller ett program som tillhör Netflix rekommenderar vi att du informerar oss om det så snart som möjligt och inte berättar om säkerhetsrisken offentligt förrän den har åtgärdats. Vi uppskattar verkligen din hjälp. Vi granskar alla rapporter och gör vårt bästa för att ta itu med problemet i tid. För att uppmuntra ansvarsfull redovisning kommer Netflix inte stämma dig eller kontakta polisen för att utreda dig om vi anser att en redovisning uppfyller följande riktlinjer:

Riktlinjer för ansvarsfull redovisning

  • Meddela Netflix och ge oss information om säkerhetsrisken. Ge oss rimligt med tid så att vi kan vidta åtgärder innan du offentliggör säkerhetsrisken.
  • Ge oss tillräckligt med information om säkerhetsrisken så att vi kan identifiera och återskapa problemet. Uppgifter bör omfatta målwebbadresser, förfrågningar/svar, skärmdumpar och/eller annan information.
  • Vi bekräftar ditt e-postmeddelande och gör en bedömning av huruvida problemet är giltigt och går att återskapa. Om problemet bedöms vara giltigt kommer vi att arbeta på att lösa problemet och hålla dig underrättad under processens gång.
  • Gör en rimlig ansträngning för att undvika följande: att tjänsten störs (t.ex. DoS-attack), integritetsproblem (t.ex. åtkomst till en Netflix-kunds data) och att data förstörs när du genomför säkerhetsanalyserna.
  • Be inte om ersättning varken från Netflix eller externa marknadsplatser för sårbarhetsproblem för rapporteringen av säkerhetsproblem.
  • Gör dig inte skyldig till nätfiske eller social manipulation gentemot Netflix anställda eller kunder.
  • Använd inte automatiserade skanningsverktyg och skicka inte utdata utan att först ha bekräftat att problemet föreligger. Säkerhetsverktyg ger ofta falska utslag som bör bekräftas av personen som rapporterar in problemet.

Säkerhetsriskkategorier vi uppmuntrar

Vi är främst intresserade av att få information om säkerhetsrisker som kan sorteras under följande kategorier:

  • Skript mellan webbplatser (Cross Site Scripting – XSS)
  • Förfalskning av begäran mellan webbplatser (Cross Site Request Forgery – CSRF)
  • SQL-inmatning (SQL Injection – SQLi)
  • Autentiseringsrelaterade problem
  • Auktoriseringsrelaterade problem
  • Dataexponering
  • Omdirigeringsattacker
  • Fjärrkörning av kod (Remote Code Execution)
  • Särskilt grundligt utarbetade säkerbetsbrister eller unika problem som inte faller under någon bestämd kategori

Säkerhetsriskkategorier som ej omfattas

Följande säkerhetsriskkategorier omfattas ej av vårt program för ansvarsfull redovisning och du kommer inte att kunna tillgodoräkna dig dem på vår analytikerlista.

  • SSL-sårbarheter som orsakas av konfiguration eller version
  • Överlastningsattacker (Denial of Service (DoS))
  • Användaruppräkning (User enumeration)
  • Nyckelsökningsangrepp (Brute forcing)
  • Ingen säkerhetsflagg på icke-känsliga cookies
  • Ingen HTTPOnly-flagg
  • Cross Site Request Forgery (CSRF) vid utloggning
  • Problem som bara uppstår i gamla webbläsare/gamla plugins/utgångna webbläsarprogramvaror
  • HTTP TRACE-metoden aktiverad
  • Säkerhetsriskrapporter kopplade till de versionnummer som inrapporterats för webbservrar, tjänster eller ramverk.
  • Klickkapning (Clickjacking) på sidor utan autentisering och/eller känsliga lägesförändringar
  • Säkerhetsriskrapporter som förutsätter att användarna i hög grad samarbetar för att utföra osannolika eller orimliga handlingar som snarare beror på social manipulation eller nätfiske än på en säkerhetsrisk i programmet (t.ex. att inaktivera webbläsarens säkerhetsfunktioner, att skicka kritisk information som gör att angriparen kan slutföra attacken, att guida användaren genom ett särskilt flöde och uppmana denne att införa skadlig kod själv osv.)

Så här rapporterar du en säkerhetsrisk

Skicka ett e-postmeddelande till security-report@netflix.com för att rapportera säkerhetsbrister till Netflix. Om du vill kryptera e-postmeddelandet finns vår PGP-nyckel nedan.

PGP-nyckel

-----BEGIN PGP PUBLIC KEY BLOCK-----
Comment: GPGTools - https://gpgtools.org
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=Mwb9
-----END PGP PUBLIC KEY BLOCK-----

Säkerhetsanalytiker som deltar – 2017

Netflix vill tacka följande forskare för att de har deltagit i vårt program för ansvarsfull redovisning.

  • Sumit Sahoo (@54H00)
  • Suyog Palav (@SuyogPalav555)
  • Maurice Dibbets
  • Jon Bottarini (@jon_bottarini)
  • Dhaval Chauhan (@17haval)
  • Jean St-Laurent (@JeanDebogue)
  • Eusebiu Blindu (@testalways)
  • Akash Saxena (@AkashSaxena21)
  • Joshua Hnat
  • Jack Whitton (@fin1te)
  • Warren Doyle (@wdoyle2)
  • Ashish Kumar Agarwal (@ashishag29)
  • Marek Szustak (@mszustak)
  • GwanYeong Kim (@sec_karas)
  • Raad Firas Haddad (@raadfhaddad)
  • Rémy Marot (@R_Marot)
  • Vineet Kumar (@the_real_clown)
  • Wen Bin KONG (@kongwenbin)
  • Dor Shahaf
  • Ali Hassan Ghori (@alihasanghauri)

Säkerhetsanalytiker som deltar – 2016

Netflix vill tacka följande forskare för att de har deltagit i vårt program för ansvarsfull redovisning.

  • Fredrik Nordberg Almroth (@almroot)
  • Ofer Gayer (@ZigZag_IL)
  • Daniel Bakker (@jackds1986)
  • Ahmed Adel Abdelfattah (@00SystemError00)
  • Mustafa Hasan (@strukt93)
  • Gerardo Venegas (@v0raz)
  • Mikołaj Dądela (@mik01aj)
  • Marwan Medhat (@SpringStatue)
  • Nenad Borovčanin (@nenad_b97)
  • Bernardo Diaz (@bada_77)
  • Caden Sumner (@CadenSumner)
  • David Moore (@grajagandev)
  • Eric Head (@codecancare)
  • Ruslan Bakhvala (@ruslan_bakhvala)
  • Robert Adam (@robertadam0)
  • Brett Buerhaus (@bbuerhaus)
  • Ben Sadeghipour (@NahamSec)
  • Jake Reynolds (@jreynoldsdev)
  • Mohammad Aman Khan (@khn_amn)
  • Keith Gardner (@kreios4004)
  • Anas Falhi (@M0ti0nl3ss_)
  • Jon Bottarini (@jon_bottarini)
  • Teemu Kääriäinen (@NixuTigerTeam)
  • Tommy DeVoss (@thedawgyg)
  • David Mann (@stembrain)
  • Anand Bhat (@_anandbhat)
  • Shay Shavit (@Chapakpuk)
  • Djaballah Mohamed Taher (@Djaballah_Med_T)
  • Rakesh Chinna (@rakesh_3895)
  • Naftali Rosenbaum (inget Twitter-konto)
  • Arne Swinnen (@arneswinnen)
  • David Wind (@slashcrypto)
  • Michael Carlson (@blainecarlson)
  • Yasin Soliman (@SecurityYasin)
  • Abner Mendoza
  • Phakpoom Chinprutthiwong
  • Suleman Malik (@sulemanmalik_3)
  • Ali Hassan Ghori (@alihasanghauri)

Säkerhetsanalytiker som deltar – 2015

Netflix vill tacka följande forskare för att de har deltagit i vårt program för ansvarsfull redovisning.

  • Fredrik Nordberg Almroth (@almroot)
  • Jonathan Conerly
  • Ali Hassan Ghori (@alihasanghauri)
  • Behrouz Sadeghipour och Patrik Fehrenbach (@NahamSec)
  • Stephen Tomkinson (@neonbunny9)
  • David Dworken (@ddworken)
  • White Rabbitz (Tyskland)
  • Christopher Presley (@The_Beard_Lives)
  • @insaneasusual
  • Mo'men Basel (@MomenBassel)
  • jamm0 (@jamm0us)
  • MentaL (@ragezone)
  • Frank B. Vickers (@SarccastikDude)
  • Ashar Javed (@soaj1664ashar)
  • Abdel Hafid Ait Chikh (@HafidAitChikh)
  • Guillaume Prieur (@gplaurin)
  • Jesse Clark (@Hogarth45_ND)
  • Ryan Preston (@ripr4p)
  • Mikael Byström (@gsocgsoc)
  • Tod Beardsley (@todb)

Säkerhetsanalytiker som deltar – 2014

Netflix vill tacka följande forskare för att de har deltagit i vårt program för ansvarsfull redovisning.

  • Ali Hassan Ghori (@alihasanghauri)
  • Cameron Crowley (@crowley_cam)
  • S.Venkatesh (@PranavVenkatS)
  • Rodolfo Godalle, Jr. (@rodgodalle)
  • Garrett Calpouzos (@GCalps)
  • Guillermo Gabarrín (@ggabarrin9)
  • Kamil Sevi (@kamilsevi)
  • Waqeeh Ul Hasan (@dowaqeeh)
  • Jared Perry (@jared_perry)
  • Robert Williamson (@bobbyman3)
  • Burak Bakir (@pr3d1c7)
  • Andrew Neculaesei (@neculaesei)
  • Ketan Sirigiri (@Cigniti)
  • Gineesh George (@g1n1_influenza)
  • Dan Singerman (@dansingerman)
  • Kenneth F. Belva (@infosecmaverick)
  • Akbar Qureshi (@_AkbarQ)
  • Web Plus
  • Ch. Muhammad Osama (@ChMuhammadOsama)
  • Nitin Goplani (@nitingoplani88)
  • Marcin Piosek (@piochu)
  • Abderrazak YS. (@Y33OULS)
  • Han Lee (@_hanlee)
  • Caleb Watt (@calebwatt15)
  • Krishna Chaitanya Kadaba (@cigniti)
  • Gustavo de Oliveira (@highustavo)
  • Sergio Galán (@NaxoneZ)
  • Rafael Pablos
  • kminthant (@psxchotic)
  • Louis Nadeau (@cybpoulet)
  • Kyle Davidson (@X942_Dev)
  • Robert Verderame (@robertverderame)
  • Olivier Beg (@smiegles)
  • Tim Jenson (@timFGO)
  • Robert Daniel (@_drxp)
  • Danish Tariq
  • Justin Kennedy (@jstnkndy)
  • Christopher Presley (@The_Beard_Lives)
  • Malte Batram (@_batram)
  • David Middlehurst (@dtmsecurity)
  • Francisco Correa (@panchocosil)
  • Mohamed Abdelbaset Elnoby (@SymbianSyMoh)
  • Jack (@linkcabin)
  • David Vieira-Kurz (@secalert)

Säkerhetsanalytiker som deltar – 2013

Netflix vill tacka följande forskare för att de har deltagit i vårt program för ansvarsfull redovisning.

  • Paul Scott
  • Jack W (@fin1te)
  • Murat Suljovic
  • Rakan Alotaibi (@hxteam)
  • Reginaldo Silva (@reginaldojsf)
  • Rafay Baloch (@rafaybaloch)
  • Kamil Sevi (@kamilsevi)
  • Chiragh Dewan (@ChiraghDewan)
  • Frans Rosén
  • Sabari Selvan (@EHackerNews)
  • Adam Ziaja (@adamziaja)
  • Yuji Kosuga (@yujikosuga)
  • Emanuel Bronshtein (@e3amn2l)
  • Siddhesh Gawde
  • Malte Batram (@_batram)
  • Ahmad Ashraff (@yappare)
  • Camilo Galdos Aka Dedalo (@SeguridadBlanca)
  • Sergiu Dragos Bogdan
  • Aditya K. Sood (@AdityaKSood)
  • Mohankumar Vengatachalam (@vimokumar)
  • Johnathan Kuskos (@johnathankuskos)
  • Evgueni Erchov (@EErchov)
  • Dylan S. Hailey (@TibitXimer)
  • Rajat Bhargava
  • Ehraz Ahmed (@securityexe)
  • Abhinav Karnawat (w4rri0r)
  • Ajay Singh Negi (@AjaySinghNegi)
  • Peter Jaric (@peterjaric)
  • David Hoyt (@cloudscan)
  • Tarek Siddiki
  • Devesh Bhatt (@deveshbhatt11)
  • Defencely @Defencely
  • Matt Ashburn @mattashburn
  • Yaroslav Olejnik - O.J.A. (@oja_c7s)
  • Rupesh Reddy ( _hck3r )
  • Stewart Anderson (@StewieMAnderson)
  • Florindarck (@QuisterTow)
  • Ali Hassan Ghori (@alihasanghauri)
  • Muhammad Shahmeer (@Shahmeer_Amir)