Sécurité
Divulgation responsable.
Si vous pensez avoir trouvé un problème de sécurité affectant le réseau ZooBC, ce site, ou les programmes de la Fondation, dites-le-nous. Cette page décrit comment faire — et ce que nous nous engageons à faire en retour.
Contact principal
security.disclosure@zoobc.foundation
Veuillez décrire le problème, le périmètre concerné (réseau, portefeuille, explorateur, ce site, ou un programme de la Fondation), les étapes de reproduction, et toute exposition publique concomitante. Aucune clé PGP n'est encore publiée — /.well-known/security.txt ne comporte pas de champ Encryption: — donc si vous avez besoin de chiffrer, demandez d'abord une clé à cette adresse.
Ce à quoi nous nous engageons
- Accusé de réception sous 72 heures suivant la réception à l'adresse de divulgation ci-dessus.
- Un point de contact nommé à la Fondation pour la durée de l'enquête.
- Divulgation coordonnée. Nous conviendrons d'une période d'embargo avec la personne qui signale le problème ; nous ne publierons rien avant cette échéance et ne la repousserons pas arbitrairement.
- Crédit public sur la chronologie des signalements, sauf si la personne qui signale préfère rester anonyme.
- Aucune action en justice contre les chercheurs de bonne foi qui respectent cette politique et restent dans le périmètre défini ci-dessous.
Dans le périmètre
- Le site web
zoobc.foundationet son back-end. - Flux de travail des subventions de la Fondation et interfaces candidat/relecteur.
- La transition entre l'authentification de ce site et l'identité Sippis — dans la mesure où un bogue permettrait un accès ou une élévation inter-comptes.
Les problèmes affectant le protocole du réseau ZooBC, le logiciel des nœuds ou le registre des publications doivent également être signalés ici ; nous les transmettrons à l'équipe d'ingénierie responsable (Blockchain Zoo PTE. LTD. ou une autre partie selon le périmètre concerné) selon les mêmes conditions de divulgation coordonnée.
Hors périmètre
- Déni de service volumétrique contre les points de terminaison publics — merci de ne pas le faire.
- Ingénierie sociale contre le personnel de la Fondation ou les bénéficiaires de subventions.
- Intrusion physique dans une quelconque infrastructure.
- Les problèmes affectant des sites tiers qui se contentent de créer un lien vers le nôtre.
Prime aux bogues
Un programme formel et rémunéré de primes aux bogues est prévu dans le cadre de la part d'allocation de genèse Primes aux bogues et sécurité (voir Transparence). Les conditions, le périmètre et le calendrier des paiements seront publiés sur cette page à l'ouverture du programme. D'ici là, les chercheurs de bonne foi qui trouvent quelque chose de significatif via le canal de divulgation ci-dessus seront crédités publiquement et pourront être pris en compte pour une reconnaissance rétroactive au lancement du programme.
Statut de l'audit
Aucun audit externe n'a encore été commandé. Le dire clairement est délibéré — laisser entendre qu'un audit existe alors que ce n'est pas le cas irait à l'encontre même du principe d'une fondation qui place la transparence en premier. Lorsqu'un cabinet d'audit sera mandaté, la lettre de mission, le périmètre et le résumé des conclusions seront publiés ici avec un lien vers le rapport complet.
En attendant, la vérification la plus solide que vous puissiez effectuer vous-même se fait par rapport au registre des publications on-chain : chaque binaire publié a son empreinte inscrite au consensus. Voir Transparence et /verify.