漏洞揭露義務

此政策上次更新時間為 2014 年 1 月 3 日。

揭露義務政策

此頁面的資訊適用於有意願向 Netflix 資安團隊回報安全性漏洞的安全性研究人員。如果您是 Netflix 會員,且對詐欺或惡意程式有疑問,請參考以下支援頁面:

如果您需要有關帳戶、收費或網站內容的資訊,請透過電話或線上即時通聯絡客戶支援服務

如果您認為自己發現有關 Netflix 財產或應用程式的安全性漏洞,我們強烈鼓勵您儘快通知我們,並且不要在漏洞修復前將其公開。在此感謝您的協助,我們會審閱所有回報項目,然後盡可能地及早解決問題。為了保障盡責的揭露人士,若 Netflix 確定揭露內容符合下列準則,便不會對您提起訴訟,也不會請執法單位對您展開調查。

揭露義務準則

  • 通知 Netflix 並提供我們漏洞的詳細資料。在公開揭露前,請給我們一段合理的時間以便解決問題。
  • 您提供的漏洞詳細資料必須夠詳盡,好讓我們找出問題並予以重現。詳細資料應包括:目標 URL、請求/回應組、螢幕擷取畫面及/或其他資訊。
  • 我們會確認您的電郵,並評估問題的有效性與可重現性。若為有效的問題,我們會全力設法解決並讓您隨時了解最新進度。
  • 請盡最大的合理努力避免服務中斷(例如:阻斷服務攻擊,DoS)、隱私權問題(例如:存取 Netflix 客戶資料),以及進行漏洞研究時的資料中斷。
  • 請勿向 Netflix 或外部漏洞發掘機構就安全性漏洞回報事宜要求獎賞。
  • 請勿對 Netflix 員工或客戶進行網路釣魚或社交工程。
  • 請勿執行自動掃描工具,而在未確定問題存在的情況下將掃描結果寄給我們。資安工具經常會輸出誤判項目,回報者應親自確認。

我們鼓勵提出的漏洞類別

我們主要希望了解是否有下列漏洞類別:

  • 跨網站指令碼 (XSS)
  • 跨網站請求偽造 (CSRF)
  • SQL 資料隱碼 (SQLi)
  • 認證相關問題
  • 授權相關問題
  • 資料外洩
  • 重新導向攻擊
  • 遠端程式碼執行
  • 無法歸類到明確類別的獨特問題或是難以發現的漏洞

不在範圍內的漏洞類別

下列漏洞類別並不在揭露義務計劃的範圍內,這類漏洞的揭露人員也無法列於研究人員名單上。

  • 與組態或版本相關的 SSL 漏洞
  • 阻斷服務攻擊 (DoS)
  • 使用者列舉
  • 暴力攻擊
  • 未在非敏感 Cookie 中設定的安全旗標
  • 未設定 HTTPOnly 旗標
  • 登出跨網站請求偽造 (CSRF)
  • 僅在舊版瀏覽器/舊版外掛程式/停止支援的軟體瀏覽器中出現的問題
  • 已啟用的 HTTP TRACE 方法
  • 與網頁伺服器、服務或架構回報版號相關的漏洞回報
  • 頁面上不含認證及/或敏感狀態變更的點擊綁架
  • 漏洞回報要求大量的使用者合作,以採取不太可能發生或不合理的行動,其更可能是社交工程或網路釣魚攻擊的症狀,而不是應用程式的漏洞(例如:停用瀏覽器安全性功能、將重要資訊傳送給攻擊者來完成攻擊、透過特定流程引導使用者,要求他們自行輸入惡意程式碼等)。

安全性漏洞回報方式

請寄電郵至 security-report@netflix.com 向 Netflix 回報安全性漏洞。如果您認為有必要將電郵加密,可以使用我們在下方提供的 PGP 金鑰。

PGP 金鑰

-----BEGIN PGP PUBLIC KEY BLOCK-----
Comment: GPGTools - https://gpgtools.org
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=Mwb9
-----END PGP PUBLIC KEY BLOCK-----

參與計劃的安全性研究人員—2017 年

Netflix 想要感謝下列參與揭露義務計劃的研究人員。

  • Sumit Sahoo (@54H00)
  • Suyog Palav (@SuyogPalav555)
  • Maurice Dibbets
  • Jon Bottarini (@jon_bottarini)
  • Dhaval Chauhan (@17haval)
  • Jean St-Laurent (@JeanDebogue)
  • Eusebiu Blindu (@testalways)
  • Akash Saxena (@AkashSaxena21)
  • Joshua Hnat
  • Jack Whitton (@fin1te)
  • Warren Doyle (@wdoyle2)
  • Ashish Kumar Agarwal (@ashishag29)
  • Marek Szustak (@mszustak)
  • GwanYeong Kim (@sec_karas)
  • Raad Firas Haddad (@raadfhaddad)
  • Rémy Marot (@R_Marot)
  • Vineet Kumar (@the_real_clown)
  • Wen Bin KONG (@kongwenbin)
  • Dor Shahaf
  • Ali Hassan Ghori (@alihasanghauri)

參與計劃的安全性研究人員—2016 年

Netflix 想要感謝下列參與揭露義務計劃的研究人員。

  • Fredrik Nordberg Almroth (@almroot)
  • Ofer Gayer (@ZigZag_IL)
  • Daniel Bakker (@jackds1986)
  • Ahmed Adel Abdelfattah (@00SystemError00)
  • Mustafa Hasan (@strukt93)
  • Gerardo Venegas (@v0raz)
  • Mikołaj Dądela (@mik01aj)
  • Marwan Medhat (@SpringStatue)
  • Nenad Borovčanin (@nenad_b97)
  • Bernardo Diaz (@bada_77)
  • Caden Sumner (@CadenSumner)
  • David Moore (@grajagandev)
  • Eric Head (@codecancare)
  • Ruslan Bakhvala (@ruslan_bakhvala)
  • Robert Adam (@robertadam0)
  • Brett Buerhaus (@bbuerhaus)
  • Ben Sadeghipour (@NahamSec)
  • Jake Reynolds (@jreynoldsdev)
  • Mohammad Aman Khan (@khn_amn)
  • Keith Gardner (@kreios4004)
  • Anas Falhi (@M0ti0nl3ss_)
  • Jon Bottarini (@jon_bottarini)
  • Teemu Kääriäinen (@NixuTigerTeam)
  • Tommy DeVoss (@thedawgyg)
  • David Mann (@stembrain)
  • Anand Bhat (@_anandbhat)
  • Shay Shavit (@Chapakpuk)
  • Djaballah Mohamed Taher (@Djaballah_Med_T)
  • Rakesh Chinna (@rakesh_3895)
  • Naftali Rosenbaum (沒有 Twitter ID)
  • Arne Swinnen (@arneswinnen)
  • David Wind (@slashcrypto)
  • Michael Carlson (@blainecarlson)
  • Yasin Soliman (@SecurityYasin)
  • Abner Mendoza
  • Phakpoom Chinprutthiwong
  • Suleman Malik (@sulemanmalik_3)
  • Ali Hassan Ghori (@alihasanghauri)

參與計劃的安全性研究人員—2015 年

Netflix 想要感謝下列參與揭露義務計劃的研究人員。

  • Fredrik Nordberg Almroth (@almroot)
  • Jonathan Conerly
  • Ali Hassan Ghori (@alihasanghauri)
  • Behrouz Sadeghipour 與 Patrik Fehrenbach (@NahamSec)
  • Stephen Tomkinson (@neonbunny9)
  • David Dworken (@ddworken)
  • White Rabbitz (GER)
  • Christopher Presley (@The_Beard_Lives)
  • @insaneasusual
  • Mo'men Basel (@MomenBassel)
  • jamm0 (@jamm0us)
  • MentaL (@ragezone)
  • Frank B.Vickers (@SarccastikDude)
  • Ashar Javed (@soaj1664ashar)
  • Abdel Hafid Ait Chikh (@HafidAitChikh)
  • Guillaume Prieur (@gplaurin)
  • Jesse Clark (@Hogarth45_ND)
  • Ryan Preston (@ripr4p)
  • Mikael Byström (@gsocgsoc)
  • Tod Beardsley (@todb)

參與計劃的安全性研究人員—2014 年

Netflix 想要感謝下列參與揭露義務計劃的研究人員。

  • Ali Hassan Ghori (@alihasanghauri)
  • Cameron Crowley (@crowley_cam)
  • S.Venkatesh (@PranavVenkatS)
  • Rodolfo Godalle, Jr.(@rodgodalle)
  • Garrett Calpouzos (@GCalps)
  • Guillermo Gabarrín (@ggabarrin9)
  • Kamil Sevi (@kamilsevi)
  • Waqeeh Ul Hasan (@dowaqeeh)
  • Jared Perry (@jared_perry)
  • Robert Williamson (@bobbyman3)
  • Burak Bakir (@pr3d1c7)
  • Andrew Neculaesei (@neculaesei)
  • Ketan Sirigiri (@Cigniti)
  • Gineesh George (@g1n1_influenza)
  • Dan Singerman (@dansingerman)
  • Kenneth F.Belva (@infosecmaverick)
  • Akbar Qureshi (@_AkbarQ)
  • Web Plus
  • Ch.Muhammad Osama (@ChMuhammadOsama)
  • Nitin Goplani (@nitingoplani88)
  • Marcin Piosek (@piochu)
  • Abderrazak YS.(@Y33OULS)
  • Han Lee (@_hanlee)
  • Caleb Watt (@calebwatt15)
  • Krishna Chaitanya Kadaba (@cigniti)
  • Gustavo de Oliveira (@highustavo)
  • Sergio Galán (@NaxoneZ)
  • Rafael Pablos
  • kminthant (@psxchotic)
  • Louis Nadeau (@cybpoulet)
  • Kyle Davidson (@X942_Dev)
  • Robert Verderame (@robertverderame)
  • Olivier Beg (@smiegles)
  • Tim Jenson (@timFGO)
  • Robert Daniel (@_drxp)
  • Danish Tariq
  • Justin Kennedy (@jstnkndy)
  • Christopher Presley (@The_Beard_Lives)
  • Malte Batram (@_batram)
  • David Middlehurst (@dtmsecurity)
  • Francisco Correa (@panchocosil)
  • Mohamed Abdelbaset Elnoby (@SymbianSyMoh)
  • Jack (@linkcabin)
  • David Vieira-Kurz (@secalert)

參與計劃的安全性研究人員—2013 年

Netflix 想要感謝下列參與揭露義務計劃的研究人員。

  • Paul Scott
  • Jack W (@fin1te)
  • Murat Suljovic
  • Rakan Alotaibi (@hxteam)
  • Reginaldo Silva (@reginaldojsf)
  • Rafay Baloch (@rafaybaloch)
  • Kamil Sevi (@kamilsevi)
  • Chiragh Dewan (@ChiraghDewan)
  • Frans Rosén
  • Sabari Selvan (@EHackerNews)
  • Adam Ziaja (@adamziaja)
  • Yuji Kosuga (@yujikosuga)
  • Emanuel Bronshtein (@e3amn2l)
  • Siddhesh Gawde
  • Malte Batram (@_batram)
  • Ahmad Ashraff (@yappare)
  • Camilo Galdos Aka Dedalo (@SeguridadBlanca)
  • Sergiu Dragos Bogdan
  • Aditya K.Sood (@AdityaKSood)
  • Mohankumar Vengatachalam (@vimokumar)
  • Johnathan Kuskos (@johnathankuskos)
  • Evgueni Erchov (@EErchov)
  • Dylan S.Hailey (@TibitXimer)
  • Rajat Bhargava
  • Ehraz Ahmed (@securityexe)
  • Abhinav Karnawat (w4rri0r)
  • Ajay Singh Negi (@AjaySinghNegi)
  • Peter Jaric (@peterjaric)
  • David Hoyt (@cloudscan)
  • Tarek Siddiki
  • Devesh Bhatt (@deveshbhatt11)
  • Defencely @Defencely
  • Matt Ashburn @mattashburn
  • Yaroslav Olejnik - O.J.A. (@oja_c7s)
  • Rupesh Reddy ( _hck3r )
  • Stewart Anderson (@StewieMAnderson)
  • Florindarck (@QuisterTow)
  • Ali Hassan Ghori (@alihasanghauri)
  • Muhammad Shahmeer (@Shahmeer_Amir)