Programma di segnalazione delle vulnerabilità

La sicurezza è un valore fondamentale per JOIN. Il contributo di chi svolge ricerca sulla sicurezza in buona fede aiuta a mantenere un livello elevato di protezione della sicurezza e della riservatezza degli utenti. A questo scopo, JOIN incoraggia la ricerca e la divulgazione responsabile delle vulnerabilità. La presente politica definisce la buona fede nell’ambito dell’individuazione e della segnalazione delle vulnerabilità e descrive gli impegni di JOIN nei confronti di chi partecipa. Il programma non prevede premi né ricompense economiche.

Nei confronti di chi collabora nel rispetto della presente politica, JOIN si impegna a:

• Applicare le tutele descritte nella sezione «Safe harbor» alla ricerca sulle vulnerabilità rientrante nella presente politica;
• Collaborare per comprendere e verificare la segnalazione, fornendo anche una prima risposta tempestiva;
• Correggere tempestivamente le vulnerabilità individuate.

Le vulnerabilità ritenute comprese nell’ambito del programma devono essere segnalate a [email protected]. Tutte le comunicazioni relative alla stessa vulnerabilità devono rimanere nella medesima conversazione email.

Per favorire la ricerca sulle vulnerabilità ed evitare equivoci tra ricerca legittima e attacchi dannosi, si richiede a chi partecipa di adoperarsi in buona fede per:

• Rispettare le regole della presente politica e ogni altro accordo applicabile, ad esempio le condizioni di servizio;
• Segnalare tempestivamente qualsiasi vulnerabilità individuata;
• Evitare di violare la riservatezza altrui, compromettere il funzionamento dei sistemi, distruggere dati o danneggiare l’esperienza degli utenti;
• Utilizzare esclusivamente i canali ufficiali per comunicare a JOIN informazioni sulle vulnerabilità;
• Mantenere riservati i dettagli delle vulnerabilità individuate secondo quanto previsto nella sezione «Divulgazione coordinata»;
• Eseguire test soltanto sui sistemi compresi nel programma e rispettare i sistemi e le attività esclusi;
• Interrompere i test e inviare immediatamente una segnalazione qualora una vulnerabilità consenta un accesso non previsto a dati degli utenti, come informazioni di identificazione personale (PII), o a informazioni proprietarie;
• Interagire soltanto con account propri, salvo esplicita autorizzazione del titolare dell’account;
• Non compiere atti di estorsione;
• Fornire segnalazioni chiare e concise: un collegamento a una breve dimostrazione del problema è particolarmente utile;
• Non tentare mai attacchi non tecnici, come ingegneria sociale, phishing o attacchi fisici, contro il personale, gli utenti o le infrastrutture di JOIN;
• Non visualizzare, modificare, salvare, conservare, trasferire o accedere in altro modo ai dati di JOIN o degli utenti senza esplicita autorizzazione.

JOIN può modificare le condizioni o interrompere il programma in qualsiasi momento.

JOIN considera la ricerca sulle vulnerabilità svolta nel rispetto della presente politica:

• Autorizzata ai sensi delle norme applicabili contro gli accessi informatici abusivi. JOIN non avvierà né sosterrà azioni legali per violazioni accidentali e in buona fede della presente politica;
• Autorizzata ai sensi delle norme applicabili contro l’elusione delle misure tecnologiche di protezione. JOIN non agirà nei confronti di chi svolge tale ricerca per l’elusione di controlli tecnologici;
• Esente dalle restrizioni della propria politica sull’uso accettabile che ostacolerebbero la ricerca sulla sicurezza. JOIN rinuncia all’applicazione di tali restrizioni limitatamente a questo ambito;
• Lecita, utile alla sicurezza complessiva di Internet e svolta in buona fede.

Resta fermo l’obbligo di rispettare tutte le leggi applicabili. Se un soggetto terzo avvia un’azione legale contro chi ha rispettato la presente politica, JOIN adotterà misure per chiarire che le attività sono state svolte in conformità alla stessa.

In caso di dubbi sulla conformità della ricerca alla presente politica, occorre scrivere a [email protected] prima di procedere.

Il programma si applica esclusivamente alle vulnerabilità che interessano sistemi ospitati su join.com.

I problemi di progettazione o implementazione che incidono in modo sostanziale sulla riservatezza o sull’integrità dei dati degli utenti sono generalmente considerati compresi nel programma. Alcuni esempi comuni:

• Cross-site scripting (XSS).
• Cross-site request forgery (CSRF).
• Script a contenuto misto (mixed content).
• Falle di autenticazione o autorizzazione.
• Errori che consentono l’esecuzione di codice lato server.
• Elusione del modello di autorizzazioni di JOIN.
• SQL injection.
• Attacchi mediante entità esterne XML.

L’elenco indica le priorità della ricerca, ma non è esaustivo. Sono di interesse tutte le segnalazioni riguardanti una possibile compromissione di dati sensibili degli utenti o dei sistemi di JOIN. Sono quindi comprese anche le gravi debolezze di sicurezza nelle dipendenze, come librerie open source, software o componenti di terzi, utilizzate attivamente nello sviluppo dei siti o dei prodotti di JOIN coperti dalla presente politica.

Sono espressamente esclusi dal programma i seguenti problemi:

• Politiche relative alla presenza o assenza di record SPF/DMARC.
• Politiche relative a password, email e account, come la verifica dell’indirizzo email, la scadenza dei collegamenti di reimpostazione e la complessità delle password.
• Cross-site request forgery relativo alla disconnessione dall’account.
• Attacchi che richiedono accesso fisico al dispositivo di un utente.
• XSS su siti diversi da join.com.
• Attacchi che richiedono uno strumento di sfruttamento sovrapposto alla nostra app, come il tapjacking.
• Vulnerabilità che richiedono alla potenziale vittima di installare software non standard o compiere altre azioni per rendersi vulnerabile.
• Vulnerabilità che riguardano chi utilizza browser o piattaforme obsoleti.
• Ingegneria sociale ai danni di dipendenti o collaboratori di JOIN.
• Qualsiasi tentativo di attacco fisico alle proprietà o ai centri dati di JOIN.
• Presenza dell’attributo autocomplete nei moduli web.
• Assenza di flag nei cookie che non contengono informazioni sensibili.
• Accesso a dati che richiede l’utilizzo, da parte dell’utente preso di mira, di un dispositivo mobile con accesso root.

I seguenti problemi sono esclusi dal programma, salvo che la segnalazione sia accompagnata da prove della possibilità di sfruttarli:

• Utilizzo di una libreria con vulnerabilità note.
• Mancata applicazione delle buone pratiche.
• Cifrari SSL/TLS non sicuri.
• Assenza di intestazioni di sicurezza che non comporti direttamente una vulnerabilità.
• Assenza di token CSRF, salvo che sia dimostrata un’azione sensibile dell’utente non protetta da un token.
• Iniezioni nell’intestazione Host.
• Segnalazioni provenienti da strumenti o scansioni automatiche non verificate manualmente.
• Presenza di banner o informazioni sulla versione, salvo che si tratti di una versione vulnerabile.

Chi svolge la ricerca può condividere con terzi i dettagli di una vulnerabilità soltanto dopo che questa è stata corretta e il programma ha concesso l’autorizzazione alla divulgazione.

Per domande sul programma, contattare il team di sicurezza all’indirizzo [email protected].