Proton 버그 보상 프로그램

크로스 사이트 스크립팅

혼합 콘텐츠 스크립트

크로스 사이트 요청 위조

인증 또는 권한 부여 결함

서버 측 코드 실행 버그

REST API 취약점

Proton 앱을 통한 원격 코드 실행

로컬 데이터, 자격 증명 또는 키체인 정보 유출

인증 및 권한 부여 취약점

안전하지 않은 업데이트 또는 코드 서명 메커니즘

로컬 권한 상승 취약점

모바일 로컬 데이터 보안 사고

인증 또는 권한 부여 결함

서버 측 코드 실행 버그

권한 상승

SMTP 익스플로잇 (예: 오픈 릴레이)

승인되지 않은 쉘 접근

승인되지 않은 API 접근

전제 조건: 익스플로잇이 취약점 자체 이외의 추가 요구 사항에 따라 달라지는지 여부(예:

• 일반적이지 않은 사용자 설정 – 이례적인 사용자 설정 또는 설정에 의존하는 경우.
• 기본이 아닌 설정 – Proton 소프트웨어가 비표준 방식으로 설정되어 있어야 합니다.
• 익스플로잇 신뢰성 – 경쟁 상태, 낮은 RCE 성공률 등으로 인해 성공이 일관되지 않은 경우(예: 비결정적 성공).
• 로컬 기기 상태 – 높은 권한, 탈옥/루팅된 기기 및/또는 물리적 접근이 필요한 경우.
• 환경 또는 네트워크 조건 – 드물거나 가능성이 낮은 외부 조건에 따라 달라지는 경우.

영향 범위: 서비스의 기밀성, 무결성 또는 가용성이 영향을 받을 수 있는 정도.

익스플로잇 체인 가치: 해당 문제가 더 광범위한 취약점 체인에 기여할 수 있는지 여부.

악용 가능성: 해당 문제가 실제 공격에 사용될 가능성.

참신성: 문제가 새로운 것인지, 이전에 보고되었는지 또는 이미 공개되었는지 여부(최초의 유효한 제출만 자격이 있음).

제출 품질: 재현 가능한 개념 증명 또는 영향을 보여주는 명확한 경로를 포함해야 합니다. 코드 또는 의사 코드가 강력히 권장됩니다.

최대 보상: USD 100,000

심각도 '치명적': USD 25,000 - USD 50,000

서비스 환경에 대한 완전하고 지속적인 무단 제어를 허용하거나, 특별한 조건이나 사전 접근 없이 모든 사용자 데이터의 기밀성 또는 무결성을 유출하는 취약점 발견.

심각도 '높음': USD 2,500 - USD 25,000

서비스 환경의 대부분에 대한 지속적인 무단 제어로 이어지거나, 특별한 조건이나 사전 접근 없이 광범위한 사용자 그룹에 영향을 미치는 데이터 기밀성 또는 무결성의 중대한 보안 사고로 이어지지만 전체 서비스 유출에는 미치지 못하는 취약점 발견.

심각도 '중간': USD 1,000 - USD 2,500

서비스 환경의 일부에 대한 무단 제어를 허용하거나, 단일 사용자 또는 소규모 그룹의 사용자 데이터의 무결성 또는 기밀성을 유출하는 취약점 발견. 또는 상당한 사용자 상호 작용이나 특정 조건이 필요하지만, 여전히 민감한 데이터나 제어 권한의 노출로 이어지는 광범위한 영향을 미치는 취약점.