Divulgación responsable.

A qué nos comprometemos

• Confirmación de recepción en un plazo de 72 horas desde la recepción en la dirección de divulgación indicada arriba.
• Una persona de contacto designada en la Fundación durante toda la investigación.
• Divulgación coordinada. Acordaremos un plazo de embargo con quien reporta; no publicaremos antes de que termine ni lo retrasaremos de forma arbitraria.
• Reconocimiento público en la cronología de informes, salvo que quien reporte prefiera el anonimato.
• Ninguna acción legal contra investigadores de buena fe que sigan esta política y se mantengan dentro del alcance indicado abajo.

Dentro del alcance

• El sitio web zoobc.foundation y su backend.
• Los flujos de subvenciones de la Fundación y las interfaces de solicitantes y revisores.
• El traspaso entre la autenticación de este sitio y la identidad de Sippis, en la medida en que algún error permita el acceso cruzado entre cuentas o la escalada de privilegios.

Los problemas que afecten al protocolo de la red ZooBC, al software de nodo o al registro de publicaciones también deben reportarse aquí, y los dirigiremos al equipo de ingeniería responsable (Blockchain Zoo PTE. LTD. u otra parte según el ámbito) bajo los mismos términos de divulgación coordinada.

Fuera del alcance

• Denegación de servicio volumétrica contra los endpoints públicos — por favor, no.
• Ingeniería social contra el personal de la Fundación o los beneficiarios de subvenciones.
• Intrusión física en cualquier infraestructura.
• Problemas que afectan a sitios de terceros que simplemente enlazan al nuestro.

Recompensa por errores

Se planea un programa formal y remunerado de recompensas por errores como parte de la partida de asignación de génesis Recompensas por errores y seguridad (consulta Transparencia). Las condiciones, el alcance y el calendario de pagos se publicarán en esta página cuando el programa se abra. Hasta entonces, los investigadores de buena fe que encuentren algo relevante a través del canal de divulgación anterior recibirán reconocimiento público y se considerarán para un reconocimiento retroactivo cuando el programa se lance.

Estado de la auditoría

Todavía no se ha encargado ninguna auditoría externa. Decirlo con claridad es deliberado: dar a entender que existe una auditoría que no existe anularía por completo el propósito de una fundación que antepone la transparencia. Cuando se contrate una firma auditora, la carta de contratación, el alcance y el resumen de hallazgos se publicarán aquí con un enlace al informe completo.

Mientras tanto, la verificación más sólida que puedes realizar tú mismo es contra el registro de publicaciones en cadena: cada binario publicado tiene su hash escrito en el consenso. Consulta Transparencia y /verify.