Безопасность
Ответственное раскрытие информации.
Если вы считаете, что нашли проблему безопасности, затрагивающую сеть ZooBC, этот сайт или программы Фонда, сообщите нам. Эта страница описывает, как это сделать — и что мы обязуемся сделать в ответ.
Основной контакт
security.disclosure@zoobc.foundation
Опишите проблему, затронутую область (сеть, кошелёк, обозреватель, этот сайт или программа Фонда), шаги воспроизведения и любую одновременную публичную огласку. PGP-ключ пока не опубликован — в /.well-known/security.txt нет поля Encryption: — поэтому, если вам нужно зашифровать сообщение, сначала запросите ключ по тому же адресу.
Наши обязательства
- Подтверждение получения в течение 72 часов с момента получения сообщения по указанному выше адресу для раскрытия информации.
- Назначенное контактное лицо в Фонде на время расследования.
- Скоординированное раскрытие информации. Мы согласуем с автором сообщения срок эмбарго: не станем публиковать информацию раньше и не станем произвольно затягивать с публикацией.
- Публичное указание авторства в хронологии отчётов, если только автор сообщения не предпочтёт анонимность.
- Отказ от юридических действий в отношении добросовестных исследователей, которые соблюдают эту политику и не выходят за рамки, указанные ниже.
В рамках программы
- Сайт
zoobc.foundationи его бэкенд. - Рабочие процессы грантов Фонда и интерфейсы заявителя и рецензента.
- Передача между аутентификацией этого сайта и идентификацией Sippis — в той мере, в какой ошибка допускает межаккаунтный доступ или повышение привилегий.
Проблемы, затрагивающие протокол сети ZooBC, программное обеспечение узлов или реестр релизов, также следует сообщать сюда — мы направим их ответственной инженерной команде (Blockchain Zoo PTE. LTD. или другой стороне, в зависимости от области) на тех же условиях скоординированного раскрытия.
Вне рамок программы
- Объёмные атаки типа «отказ в обслуживании» на публичные эндпоинты — пожалуйста, не надо.
- Социальная инженерия против сотрудников Фонда или получателей грантов.
- Физическое проникновение в любую инфраструктуру.
- Проблемы, затрагивающие сторонние сайты, которые просто ссылаются на наш.
Bug bounty
Официальная платная программа баг-баунти запланирована в рамках доли генезис-распределения «Вознаграждения за ошибки и безопасность» (см. раздел «Прозрачность»). Условия, объём и график выплат будут опубликованы на этой странице, когда программа откроется. До тех пор добросовестные исследователи, нашедшие что-то существенное через указанный выше канал раскрытия информации, будут публично указаны с благодарностью и рассмотрены на предмет ретроактивного признания после запуска программы.
Статус аудита
Внешний аудит пока не заказан. Прямое заявление об этом сделано намеренно: делать вид, что аудит существует, когда его нет, противоречило бы самой сути фонда, ставящего прозрачность во главу угла. Когда аудиторская фирма будет привлечена, здесь будут опубликованы письмо-соглашение, объём работ и сводка выводов со ссылкой на полный отчёт.
Пока же самая надёжная проверка, которую вы можете выполнить сами, — сверка с ончейн-реестром релизов: хеш каждого опубликованного бинарного файла записан в консенсус. См. Прозрачность и /verify.