Infrastruktur, Webdienste, SMS-aktivierte Apps

Teilnahmebedingungen für das Bug Bounty-Programm

Registrierung und Verifizierung

• Anmeldung: Um an dem Programm teilnehmen zu können, müssen Sie sich zunächst auf der Website anmelden sms-activate.at Geben Sie während des Registrierungsprozesses Ihr Telegram-Konto an, um die Kommunikation zu erleichtern.
• Überprüfung: Um Zahlungen zu erhalten, müssen Sie den Verifizierungsprozess durchlaufen. Detaillierte Anweisungen werden Ihnen per Telegram zugesandt, sobald Ihr Bericht genehmigt wurde.

Bereitstellung von Berichten

• Studieren der Regeln: Bitte machen Sie sich vor Abgabe Ihrer Meldung mit den Teilnahmeregeln und den in Betracht kommenden Schwachstellenarten vertraut;
• Meldeformular: Nutzen Sie das Formular auf der Seite sms-activate.at/bugbountyForm um Ihren Bericht einzureichen. Ihr Bericht sollte eine klare Beschreibung der Schwachstelle, Schritte zu deren Reproduktion, Beweise (Screenshots, Videos) und Empfehlungen zur Behebung der Schwachstelle enthalten;
• Zusätzliche Dateien: Hängen Sie ggf. zusätzliche Dateien an, um die Schwachstelle zu bestätigen.

Prozess der Überprüfung von Berichten

Arten von Schwachstellen

Verifizierung und Datenschutz

Zahlungen

Ethische Normen

Anhang A

• TROCKEN (Meldungen über diese Art von Schwachstelle werden nur bei hoher Kritikalität akzeptiert; die Kritikalität wird von unserem Spezialisten bei Bestätigung der Schwachstelle bestimmt);
• Jede Art von XSS-Schwachstellen, mit Ausnahme von Stored XSS (Gespeicherte XSS-Schwachstellenberichte werden abhängig von der Wichtigkeit der Webressource akzeptiert);
• Clickjacking;
• Unsicherer Weiterleitungs-URI;
• Verzeichnisliste aktiviert (Passwörter, Backups) und Offenlegung sensibler Daten (abhängig von den offengelegten Daten; Meldungen zu dieser Schwachstelle werden akzeptiert, wenn kritische Daten gefunden werden);
• Debug-Modus aktiviert, das keine kritischen Daten preisgibt;
• CSRF-Schwachstellen, innerhalb einer Funktion gefunden, die nicht kritisch ist;
• Offenlegung des Admin-Panels (wenn der Bug-Jäger das Admin-Dashboard findet, aber nicht in der Lage ist, eine Kontoübernahme durchzuführen oder andere wichtige Informationen zu erhalten);
• Benutzeraufzählung ohne Offenlegung kritischer Daten;
• Sicherheitsfehlkonfiguration, falls es keine Beweise dafür gibt, dass die Bedrohung erkannt wurde;
• Die Erbringung von Dienstleistungen verweigern;
• Spam；
• Social Engineering, richtet sich an Mitarbeiter, Auftragnehmer oder Kunden;
• Alle physischen Versuche, sich Zugang zu Eigentum oder Datenzentren zu verschaffen
• Systembesitzer;
• Bericht, der mithilfe automatisierter Tools und Scans erstellt wurde;
• Fehler in der Software eines Drittanbieters;
• Fehlen von Sicherheitsheadern die nicht direkt zu einer Sicherheitslücke führen;
• SSL-/TLS-Vertrauensverletzung;
• Sicherheitslücken, die nur Benutzer veralteter oder nicht lizenzierter Browser und Plattformen betreffen;
• Richtlinien zur Passwort- und Kontowiederherstellung, wie zum Beispiel das Ablaufdatum eines Reset-Links oder die Passwortstärke;
• Veralteter DNS-Eintrag, Verweis auf ein System, das nicht dem Systembesitzer gehört.