Co slibujeme
Nejprve opravujeme nejzávažnější problémy. Dáme vám vědět, jakmile bude oprava nasazena, a domluvíme se s vámi, kdy bude možné podrobnosti zveřejnit.
Jak problém nahlásit
Napište na security@adverant.ai. Uveďte prosím:
- co jste našli a kde (URL adresu, část produktu nebo komponentu);
- kroky k zopakování chyby včetně případného ověřovacího kódu (proof-of-concept) nebo snímků obrazovky;
- jak by toho podle vás mohl útočník zneužít;
- jak vás můžeme kontaktovat a zda si přejete být uvedeni jako objevitelé.
Pokud můžete, pište prosím anglicky. Jedno přehledné hlášení je užitečnější než několik krátkých. Neposílejte prosím žádné osobní údaje, na které jste případně narazili – pouze je popište.
Rozsah programu
- web adverant.ai a jeho subdomény provozované společností Adverant;
- Adverant Nexus provozovaný v našem cloudu v EU, včetně AI ústředny, přihlašování a otevřeného ověřovače záznamů;
- software Nexus, instalátory a aktualizační balíčky, k jejichž provozování máte licenci.
Mimo rozsah: útoky na naše lidi (phishing, sociální inženýrství), fyzické útoky, odepření služby (DoS), zjištění vyžadující již napadené zařízení a výstupy z automatizovaných skenerů bez prokázaného dopadu. Vlastní instalace zákazníka patří danému zákazníkovi; problémy nalezené u něj prosím nahlaste jak jemu, tak nám.
Pravidla testování
- Používejte pouze účty a data, která patří vám nebo která vám byla pro testování přidělena.
- Učiňte jen minimum nutné k prokázání chyby. Jakmile se dostanete k cizím datům, nepokračujte a ihned nám dejte vědět.
- Neměňte ani nemažte data, neomezujte chod služby a neudržujte si přístup déle, než je nezbytné.
- Podrobnosti si nechte pro sebe, dokud se společně nedohodneme na datu zveřejnění.
Právní ochrana (Safe harbour)
Pokud jednáte v dobré víře a dodržujete tato pravidla, budeme váš výzkum považovat za oprávněný. Nepodnikneme proti vám kvůli němu žádné právní kroky ani vás nenahlásíme úřadům. Pokud by to udělal někdo jiný, potvrdíme, že jste jednali s naším svolením. To se nevztahuje na jednání, které porušuje zákon způsobem, jejž tato pravidla nemohou povolit.
Zveřejnění informací
Podrobnosti raději zveřejňujeme až poté, co je oprava dostupná všem, kdo ji potřebují. Na načasování se s vámi dohodneme a nebudeme vás žádat o mlčenlivost déle, než je nutné k ochraně našich zákazníků. Pokud se neshodneme, vysvětlíme vám proč.
Pokud jste náš zákazník
Podezření na incidenty hlaste prostřednictvím bezpečnostního kontaktu uvedeného ve vaší smlouvě nebo přes podporu přímo v systému Nexus, abychom mohli postupovat podle vašeho plánu pro řešení incidentů. Informace o tom, jak chráníme data a jaká pravidla zohledňujeme, najdete v části centru důvěry.