Sicurezza
Divulgazione responsabile.
Se ritieni di aver trovato un problema di sicurezza che riguarda la rete ZooBC, questo sito o i programmi della Fondazione, diccelo. Questa pagina descrive come farlo — e cosa ci impegniamo a fare in cambio.
Contatto principale
security.disclosure@zoobc.foundation
Descrivi il problema, la superficie interessata (rete, wallet, explorer, questo sito o un programma della Fondazione), i passaggi per riprodurlo e qualsiasi esposizione pubblica concomitante. Non è ancora pubblicata una chiave PGP — /.well-known/security.txt non riporta un campo Encryption: — quindi se hai bisogno di cifrare, chiedi prima una chiave a quell'indirizzo.
A cosa ci impegniamo
- Conferma di ricezione entro 72 ore dall'arrivo all'indirizzo di segnalazione sopra indicato.
- Un referente nominato presso la Fondazione per tutta la durata dell'indagine.
- Divulgazione coordinata. Concorderemo con chi segnala un periodo di embargo; non pubblicheremo nulla prima della sua scadenza né lo anticiperemo arbitrariamente.
- Riconoscimento pubblico nella cronologia delle segnalazioni, salvo che chi segnala preferisca l'anonimato.
- Nessuna azione legale contro i ricercatori in buona fede che seguono questa policy e restano entro l'ambito indicato di seguito.
Nell'ambito
- Il sito web
zoobc.foundatione il suo backend. - I flussi di lavoro dei grant della Fondazione e le superfici per candidati/revisori.
- Il passaggio di consegne tra l'autenticazione di questo sito e l'identità Sippis — nella misura in cui un bug consenta l'accesso incrociato tra account o un'escalation di privilegi.
Anche i problemi che riguardano il protocollo della rete ZooBC, il software dei nodi o il registro dei rilasci vanno segnalati qui, e li inoltreremo al team di ingegneria responsabile (Blockchain Zoo PTE. LTD. o un'altra parte, a seconda dell'ambito) secondo gli stessi termini di divulgazione coordinata.
Fuori ambito
- Denial-of-service volumetrico contro gli endpoint pubblici — per favore no.
- Ingegneria sociale contro lo staff della Fondazione o i beneficiari di grant.
- Intrusione fisica in qualsiasi infrastruttura.
- Problemi che riguardano siti di terze parti che si limitano a linkare il nostro.
Bug bounty
Un programma di bug bounty formale e retribuito è previsto come parte della quota del genesis dedicata a Bug bounty e sicurezza (vedi Trasparenza). Termini, ambito e calendario dei pagamenti saranno pubblicati su questa pagina quando il programma aprirà. Fino ad allora, i ricercatori in buona fede che trovano qualcosa di rilevante tramite il canale di segnalazione sopra indicato riceveranno un riconoscimento pubblico e saranno considerati per un riconoscimento retroattivo quando il programma sarà lanciato.
Stato dell'audit
Non è stato ancora commissionato alcun audit esterno. Dichiararlo apertamente è una scelta deliberata — lasciar intendere che esista un audit che in realtà non c'è vanificherebbe lo scopo stesso di una fondazione che mette la trasparenza al primo posto. Quando una società di audit verrà incaricata, la lettera di incarico, l'ambito e la sintesi dei risultati saranno pubblicati qui con un link al rapporto completo.
Nel frattempo, la verifica più solida che puoi effettuare da solo è rispetto al registro dei rilasci on-chain: ogni binario pubblicato ha il proprio hash scritto nel consenso. Vedi Trasparenza e /verify.