Proton

Güvenlik açığı açıklama ilkesi

Son değişiklik: 31 Temmuz 2023

CERN kuruluşunda tanışan bilim adamlarının kurduğu bir şirket olarak, akran değerlendirmesine inanıyoruz. Bu nedenle, sistemlerimizin güvenliğini sağlamamıza ve hassas bilgilerin yetkisiz kişilerce ele geçirilmesinden korumamıza yardımcı olması için bağımsız güvenlik topluluğunu destekliyoruz. Güvenlik araştırmacılarının, Proton ürünlerinde bulunabilecek olası güvenlik açıklarını bildirmeleri için bizimle iletişim kurmalarını istiyoruz.

Bu ilke şunları belirler:

  • Kapsanan sistem ve uygulamalar
  • Kapsanan güvenlik araştırma yöntemleri
  • Potansiyel güvenlik açıklarını bize nasıl bildirebileceğiniz
  • Güvenlik açıklarını açıklama felsefemiz ve güvenlik açıklarını kamuya duyurmadan önce sizden ne kadar beklemenizi isteyeceğimiz

Proton, güvenlik açığı açıklama ilkesine uygun bildirimlerin alındığını beş (5) iş günü içinde onaylayacaktır. Aldıktan sonra, gönderimleri doğrulamaya, düzeltici eylemler uygulamaya (uygunsa) ve bildirilen güvenlik açıklarının durumu hakkında araştırmacıları en az gecikmeyle bilgilendirmeye çalışacağız.

Güvenlik araştırmanız sırasında bu ilkeye uymak için iyi niyetli bir çaba gösterirseniz, araştırmanızın Proton yasal güvenli liman ilkesine göre yetkilendirilmiş olduğunu kabul edeceğiz. Sorunu hızlı bir şekilde anlamak ve çözmek için sizinle birlikte çalışacağız ve araştırmanızla ilgili eylemleriniz için size karşı yasal bir işlem yürütmeyeceğiz veya dava açmayacağız.

Sınama yöntemleri

Güvenlik araştırmacıları şunları yapmamalıdır:

  • Aşağıdaki kapsam bölümünde belirtilen sistemlerden farklı bir sistemi sınamak
  • Bir güvenlik açığını bildirme ve açıklama bölümlerinde belirtilenler dışında güvenlik açığı bilgilerini açıklamak
  • Tesislerin veya kaynakların fiziksel testine katılmak
  • Sosyal mühendislikle uğraşmak
  • "Oltalama" iletileri ile birlikte Proton kullanıcılarına istenmeyen elektronik posta göndermek
  • "Hizmet reddi" veya "kaynak tükenmesi" saldırıları gerçekleştirmek veya gerçekleştirmeye çalışmak
  • Kötü amaçlı yazılımları Proton veya herhangi bir üçüncü tarafın sistemlerine sokmak
  • Proton sistemlerinin çalışmasını engelleyebilecek veya kasıtlı olarak güvenlik sistemlerini bozabilecek veya kullanılmasını engelleyecek sınamalar yapmak
  • Proton sistemleriyle bütünleşik veya Proton sistemlerine bağlanan veya bunlar üzerinden bağlanan üçüncü taraf uygulamalarını, sitelerini veya hizmetleri sınamak
  • Proton verilerini silmek, değiştirmek, paylaşmak, saklamak veya yok etmek ya da Proton verilerini erişilemez hale getirmek
  • Verileri sızdırmak, komut satırı erişimi sağlamak, Proton sistemlerinde kalıcı bir varlık oluşturmak veya diğer Proton sistemlerine "geçmek" için bir açığı kullanmak

Güvenlik araştırmacıları şunları yapabilir:

  • Herkese açık olmayan Proton verilerini yalnızca olası bir güvenlik açığının varlığını belgelemek için gerekli olduğu ölçüde görüntülemek veya saklamak

Güvenlik araştırmacıları şunları yapmalıdır:

  • Bir güvenlik açığı bulunduğunda sınamayı durdurmak ve hemen bizi bilgilendirmek
  • Herkese açık olmayan verilerin açığa çıktığını fark ettiğinde sınamayı durdurmak ve hemen bizi bilgilendirmek
  • Bir güvenlik açığını bildirdikten sonra kaydedilmiş herkese açık olmayan verileri temizlemek

Kapsam

Şu sistem ve hizmetler kapsanır:

  • Sitemiz, proton.me
  • mail.proton.me İnternet uygulaması
  • calendar.proton.me İnternet uygulaması
  • drive.proton.me İnternet uygulaması
  • account.proton.me İnternet uygulaması
  • Proton Mail İnternet uygulaması
  • Proton Mail Android ve iOS uygulamaları
  • api.protonmail.ch
  • Proton Drive
  • Proton Drive Windows ve Android uygulamaları
  • Proton Drive iOS/iPad uygulaması (beta)
  • Proton Calendar
  • Proton Calendar iOS/iPad uygulaması (beta)
  • Proton Calendar
  • Proton VPN
  • SimpleLogin
  • VPN sitemiz, protonvpn.com
  • account.protonvpn.com
  • api.protonvpn.ch
  • Proton VPN Windows, macOS, Linux, iOS/iPad ve Android uygulamaları
  • Windows, macOS ve GNU/Linux için Proton Bridge
  • Proton Pass
  • Proton Pass mobil uygulamaları (Android ve iOS)
  • Proton Pass tarayıcı eklentileri

Yukarıda açıkça listelenmeyen hizmetler bu ilkenin kapsamı dışındadır. Açık olması için, şunlar kapsanır, ancak bunlarla sınırlı değildir:

  • İstenmeyen e-posta
  • Sosyal mühendislik teknikleri
  • Hizmet reddi saldırıları
  • Proton veya kullanıcıları için önemli bir riski açıkça gösteremediğiniz sürece içerik enjeksiyonu kapsam dışındadır
  • Korunan alandaki etki alanlarında betikler yürütülmesi
  • Son iki (2) takvim yılı içinde yayınlanan güncel işletim sistemi sürümlerinde veya mobil aygıtlarda yeniden üretilemeyen mobil uygulama çökme bildirimleri
  • Proton Mail amacının kapsamı dışındaki güvenlik sorunları
  • Olasılığı düşük olan kullanıcı etkileşimleri gerektiren hatalar
  • WordPress hataları (ancak lütfen bunları WordPress tarafına bildirin)
  • shop.proton.me hataları (lütfen bunları Shopify tarafına bildirin)
  • proton.me/support/contact, protonmail.zendesk.com, support.protonmail.com ve help.protonmail.com hataları (lütfen bunları Zendesk tarafına bildirin)
  • status.proton.me adresindeki hatalar (lütfen bunları Atlassian tarafına bildirin)
  • Aygıta fiziksel erişim gerektiren kavramsal kanıtlar
  • Güncel olmayan yazılımlar. Çeşitli nedenlerle, her zaman güncel yazılım sürümlerini çalıştırmıyoruz, ancak yazılımlara tüm yamaları uyguluyoruz
  • Güncel olmayan tarayıcıları etkileyen açıklar

Bir güvenlik açığını bildirmek

Bildirimler, security@proton.me adresinden elektronik posta yoluyla kabul edilir. İletiler düz metin, zengin metin ve HTML biçiminde kabul edilebilir. Güvenlik açıklarını gönderirken herkese açık PGP anahtarımızı kullanarak gönderimleri şifrelemenizi öneririz.

  • Güvenlik açığından yararlanıldığını gösteren kavram kanıtı kodunu içeren bildirimleri yeğliyoruz.
  • Bildirimler, güvenlik açığını yeniden oluşturmak için gerekli adımların ayrıntılı bir teknik açıklamasını sağlamalı ve güvenlik açığını yakalamak veya güvenlik açığından yararlanmak için gereken tüm araçların açıklamasını da içermelidir.
  • Bildirimlere görseller (ekran görüntüleri gibi) ve diğer belgeler eklenebilir. Ek dosyalara açıklayıcı adlar vermek yararlıdır.
  • Tüm betik dosyalarının veya yararlanma kodlarının yürütülemeyen dosya türleri içine yerleştirilmesini istiyoruz.
  • Zip, 7zip ve gzip gibi tüm yaygın dosya türlerini ve arşivleri işleyebiliriz.

Araştırmacılar, bildirimleri anonim olarak gönderebilir veya Proton güvenlik ekibinin kendileriyle nasıl ve ne zaman iletişime geçmesi gerektiğini ve iletişim bilgilerini belirtebilir. Gönderilen bildirimin bazı yönlerini açıklığa kavuşturmak veya diğer teknik bilgileri toplamak için araştırmacılarla iletişim kurabiliriz.

Proton tarafına bir bildirim gönderdiğinizde, bildirimin ve ek dosyaların herhangi bir üçüncü tarafın fikri mülkiyet haklarını ihlal etmediğini kabul etmiş olursunuz. Ayrıca Proton'a, özel olmayan, telifsiz, Dünya çapında, sürekli bir kullanım, çoğaltma, türev çalışmalar oluşturma ve bildirim ile ek dosyalarını yayınlama lisansı vermiş olursunuz.

Açıklama

Proton, güvenlik açıklarını en kısa zamanda gidereceğine söz verir. Topluluğumuzu riske atan sorunları çözmek için özenle çalışacağız. Hazır bir düzeltici önlem yoksa, bir güvenlik açığının kamuya açıklanması, topluluğumuzun güvenlik riskini azaltmak yerine büyük olasılıkla artıracağından, tüm araştırmacılardan, biz gönderdikleri bildirimler üzerinde çalışırken sabırla beklemelerini rica ediyoruz.

Buna göre, bizden bildiriminizin elimize geçtiğinin onayını aldıktan sonra 120 takvim günü boyunca keşfedilen güvenlik açıklarıyla ilgili bilgileri paylaşmaktan kaçınmanızı istiyoruz. Düzeltici eylemleri uygulamamızdan önce başkalarına bu güvenlik açığının bildirilmesi gerektiğine inanıyorsanız, önceden Proton güvenlik ekibiyle koordinasyon sağlamalısınız.

Güvenlik açığı bildirimlerini etkilenen satıcılarla paylaşabiliriz. Açıkça izin verilmedikçe güvenlik araştırmacılarının adlarını veya iletişim bilgilerini paylaşmayacağız.

Sorularınız?

Bu ilkeyle ilgili sorularınızı security@proton.me adresine gönderebilirsiniz. Proton, bu ilkenin herhangi bir maddesindeki ayrıntıları güvenlik araştırmacıları ile değerlendirmeye açıktır.

Emin değilseniz lütfen sınamaya başlamadan önce belirli bir sınama yöntemi bu ilkeyle tutarsızsa veya bu ilke tarafından ele alınmamışsa bize ulaşın. Güvenlik araştırmacılarını bu ilkeyi geliştirmeye yönelik önerileri için bizimle görüşmeye davet ediyoruz.