דיווח על פגיעות אבטחה

לאן לפנות

שלחו דוא״ל לכתובת office@bama-slides.com עם המילה SECURITY בשורת הנושא. אותה כתובת מופיעה בקובץ /.well-known/security.txt.

אל תפרסמו את הפגיעות ואל תשתפו אותה עם אחרים לפני שתוקנה, או לפני שחלפו 90 יום מהדיווח, המוקדם מביניהם, אלא אם הסכמנו אחרת בכתב.

מה לכלול בדיווח

• מה מצאתם, ובאיזו כתובת או נקודת קצה זה משוחזר.
• שלבי השחזור, רצוי עם בקשה ותשובה לדוגמה.
• מה תוקף יכול להשיג בעזרת החולשה.
• האם נחשפתם למידע שאינו שלכם, שיניתם אותו או שמרתם אותו אצלכם.

יעדי תגובה

אלה היעדים שלנו. הם אינם התחייבות לתוצאה או למועד תיקון:

• אישור שהפנייה נקראה: בתוך 3 ימי עסקים.
• הערכה ראשונית: בתוך 10 ימי עסקים.
• תיקון או צמצום סיכון לממצא חמור שאומת: בתוך 30 יום, ככל שהדבר תלוי בנו.

אם לא קיבלתם אישור בתוך 3 ימי עסקים, שלחו שוב. ייתכן שההודעה לא הגיעה.

מחקר בתום לב

לא נגיש תלונה ולא ננקוט הליך משפטי נגד מי שחקר את במה בתום לב ובהתאם לתנאים שבעמוד הזה, ונתייחס לפעולותיו כמורשות מצדנו. תום לב פירושו:

• בדקתם רק חשבונות שיצרתם בעצמכם, או חשבונות שבעליהם הרשה לכם.
• לא ניגשתם למידע של אחרים, לא שיניתם אותו ולא שמרתם אותו. אם נתקלתם בו במקרה, עצרתם, מחקתם כל עותק וכתבתם לנו על כך.
• לא פגעתם בזמינות השירות: בלי מניעת שירות, בלי סריקות אוטומטיות שיוצרות עומס, ובלי שליחת דואר דרך השירות.
• לא השתמשתם בהנדסה חברתית או בחדירה פיזית, ולא תקפתם את התשתית של הספקים שלנו.
• שמרתם על הסודיות שבסעיף הראשון.

ההתחייבות הזו ניתנת רק בשמנו. היא אינה מחייבת את הספקים שלנו, רשויות או צדדים שלישיים, ואינה פוטרת מאחריות שאין בידינו לוותר עליה. בדיקה שחורגת מהתנאים האלה אינה מכוסה.

מה בתחום ומה מחוצה לו

בתחום: אתר במה והשירות שבו, נתיבי ה-API שלו, השימוש של במה בשירותי החיוב, שיתוף מצגות וגישה לקבצים, ואימות והרשאות.

מחוץ לתחום: התשתית של הספקים עצמם (דווחו ישירות לספק); ממצאים שדורשים מכשיר פרוץ או תוסף דפדפן זדוני; כותרות הקשחה חסרות ללא השפעה מוכחת; פלט של סורק אוטומטי בלי הוכחה שהחולשה ניתנת לניצול; והנדסה חברתית.

תגמול

אין תוכנית תגמול כספי. אם תרצו, נציין את שמכם כמי שדיווח, לאחר התיקון.