«Лаборатория Касперского» запускает на платформе Yogosha свою общедоступную программу вознаграждения за найденные уязвимости. Если вы хотите принять участие в программе, пожалуйста, зарегистрируйтесь и присоединяйтесь к сообществу.

Продукты, на которые распространяется действие программы

• Kaspersky Standard
• Kaspersky Plus
• Kaspersky Premium
• Kaspersky Endpoint Security для Windows
• Kaspersky Endpoint Security для Linux
• Kaspersky Password Manager
• Kaspersky Secure Connection

Условия программы

Исходя из модели угроз нашего продукта, атаки на канал связи в рамках служб удаленного управления (конфигурация, обновление и т.д.) могут быть реализованы на любой целевой системе независимо от активности пользователя. Используя атаку «человек посередине» (Man-in-the-Middle), можно удаленно выполнить произвольный код в процессах антивируса с высокими привилегиями. В этом случае код злоумышленника будет выполнен в рамках антивирусного продукта в обход технологий обнаружения. Мы очень серьезно относимся к возможности такого вида атаки.

За высококачественный отчет с доказательством реализации вектора атаки Man-in-the-Middle мы выплатим специальное вознаграждение в размере $100 000.

Комментарии:

[1] – Отчет с тестовыми примерами с подробным пошаговым описанием реализации уязвимости.
[2] – Высококачественный отчет с доказательством концепции (должен продемонстрировать, что уязвимость возможна). Мы можем не принять отчет, если для выполнения уязвимости требуется слишком много времени, или она не заслуживает доверия по каким-либо другим причинам.
[3] – Конфиденциальные данные: пароли пользователей, платежные данные (если применимо), токены аутентификации.

Вне сферы действия программы

Действие программы не распространяется на:

• Онлайн-сервисы и сайты «Лаборатории Касперского», а также другие сетевые службы.
• Уязвимости в стороннем программном обеспечении (библиотеки, операционные системы и т.д.).
• Локальные атаки, изначально выполненные с административными (или более высокими) привилегиями.
• Отчеты о необнаруженном вредоносном ПО. Пожалуйста, отправляйте такие отчеты в техническую поддержку «Лаборатории Касперского».
• Обход лицензионных ограничений приложений «Лаборатории Касперского» без влияния на безопасность законных пользователей.

Проверка отчетов на соответствие требованиям

«Лаборатория Касперского» проверяет все присланные отчеты и оценивает серьезность найденных уязвимостей и уровень потенциального воздействия на наших клиентов. Для этого мы используем версию 3.1 системы оценки CVSS (Common Vulnerability Scoring System). «Лаборатория Касперского» оставляет за собой право по собственному усмотрению определять, соответствуют ли отчеты требованиям, могут ли они быть приняты к рассмотрению, и заслуживают ли они вознаграждения. «Лаборатории Касперского» не рассматривает отчет, если в нем содержится информация об уже известной уязвимости, или если часть отчета была раскрыта третьей стороне.

Условия участия

В программе Bug Bounty «Лаборатории Касперского» могут участвовать все исследователи, кроме:

• лиц, которым на момент отправки отчета не исполнилось 13 лет;
• сотрудников «Лаборатории Касперского» и ее дочерних компаний, а также их ближайших родственников.

По условиям этой политики исследователи могут ожидать от «Лаборатории Касперского»:

• расширение положения Safe Harbor для исследований уязвимостей, связанных с этой политикой;
• взаимодействие с исследователями для лучшего понимания и проверки их отчетов;
• своевременное устранение обнаруженных уязвимостей. Это наш главный приоритет. Мы используем оценку CVSS для определения серьезности обнаруженной уязвимости и уровня потенциального воздействия на пользователей;
• признание вклада исследователей в улучшение безопасности наших продуктов, если исследователь первым сообщил об уникальной уязвимости, и его отчет привел к изменению кода или настроек.

Положение Safe Harbor

«Лаборатория Касперского» считает, что все проводимые по этой политике исследования уязвимостей:

• не нарушают общепринятые в индустрии практики (в частности «Закон о мошенничестве и злоупотреблении с использованием компьютеров» (CFAA) и «Закон об авторском праве в цифровую эпоху» (DMCA)). «Лаборатория Касперского» не будет инициировать или поддерживать судебные иски против исследователей за случайные, добросовестные нарушения этой политики, а также за обход средств технологического контроля;
• освобождаются от описанных в Условиях использования ограничений, которые могли бы помешать проведению исследований в области безопасности. «Лаборатория Касперского» частично снимает эти ограничения для работ, выполняемых в рамках этой политики;
• являются законными, полезными для общей безопасности экосистемы информационно-коммуникационных технологий и выполняются добросовестно.

Правила этики

Чтобы поощрить исследования уязвимостей и избежать путаницы между добросовестными исследованиями и злонамеренной деятельностью, мы просим исследователей:

• Следовать этой политике, а также любым другим связанным соглашениям. Если между ними существует какое-либо несоответствие, условия этой политики считаются приоритетными.
• Незамедлительно сообщать о каждой обнаруженной уязвимости и включать в свой отчет их подробное описание.
• Действовать добросовестно, чтобы избежать нарушения конфиденциальности, уничтожения данных и/или нарушения работы наших систем.
• Обсуждать с нами информацию об уязвимостях только через официальные каналы.
• Не разглашать третьим лицам информацию о любых обнаруженных уязвимостях до их устранения.
• Проводить тестирование только на продуктах, предусмотренных программой, и уважать продукты и услуги, на которые ее действие не распространяется.
• Немедленно сообщать нам, если вы непреднамеренно столкнулись с пользовательскими данными. Пожалуйста, не просматривайте, не изменяйте, не сохраняйте, не передавайте и не получайте доступ к таким данным. Немедленно очистите любую локальную информацию после сообщения нам об уязвимости.
• Использовать только тестовые учетные записи, которые принадлежат вам, или явно разрешены к использованию владельцем учетной записи.
• Не заниматься вымогательством.
• Соблюдать все применимые законы.

Исследователи безопасности обязуются выплатить налог от полученных вознаграждений.
«Лаборатория Касперского» оставляет за собой право изменить условия этой программы или отменить ее в любое время. «Лаборатория Касперского» не будет применять любые изменения этой программы, если они внесены задним числом.

Я принимаю условия этой политики и хочу сообщить об уязвимости