1. מבוא
אנו מברכים על דיווחים מכל מי שסבור שמצא פגיעות אבטחה ב-Unopost. מדיניות גילוי אחראי זו מסבירה כיצד לדווח על פגיעות, מהם הכללים שאנו מבקשים שתקפידו עליהם בזמן החיפוש, ומה נעשה מצדנו בתמורה. היא מפורסמת על ידי AWS, CYY & Co. Pty Ltd (ACN 686 116 245) בתפקידה כנאמן של Mumu, Lulu & Co. (ABN 54 837 123 965), המפעילה את Unopost.
איננו מפעילים תוכנית תגמולים בתשלום על מציאת באגים (bug bounty) ואיננו משלמים תגמולים על דיווחים. ברשותכם, נודה לכם בשמכם בדף זה לאחר שהבעיה תתוקן.
2. היקף
מדיניות זו חלה על:
- האתר שלנו בכתובת https://unopost.com.au, בכל השפות
- הפורטל העסקי
- ה-Business API בכתובת https://unopost.com.au/api/v1 וה-API בפרוטוקול x402 בכתובת https://unopost.com.au/x402
- הודעות הדוא״ל שאנו שולחים בנוגע למכתבים ולחשבונות עסקיים
היא אינה חלה על שירותים המופעלים על ידי אחרים שבהם אנו משתמשים, כגון Square, Australia Post או Amazon Web Services. דווחו על בעיות בשירותים אלה לספק הנוגע בדבר.
3. כיצד לדווח
שלחו דוא״ל לכתובת support@unopost.com.au עם המילה ״Security״ בשורת הנושא. אנא כללו:
- תיאור של הבעיה ושל ההשפעה שלדעתכם יש לה
- כתובת ה-URL, נקודת הקצה (endpoint) או התכונה המושפעים
- הוראות מפורטות, שלב אחר שלב, לשחזור הבעיה, בצירוף כל קוד הוכחת היתכנות (proof of concept), צילומי מסך או בקשות
- כיצד נוכל ליצור איתכם קשר, והאם תרצו שנודה לכם בשמכם
אם מצאתם מפתח, סיסמה או סוד אחר חשופים, הודיעו לנו מיד ואל תשתמשו בהם. אנא כתבו באנגלית אם תוכלו.
4. מה אנו מבקשים מכם
בעת חיפוש פגיעות ודיווח עליה, עליכם:
- לבדוק רק חשבונות, מסמכים ומכתבים שהם שלכם, או שקיבלתם את רשות בעליהם להשתמש בהם
- לעצור מיד כשאתם מגיעים למידע אישי, למסמכים או לנתונים שאינם שלכם, ולספר לנו למה ניגשתם. אל תעתיקו, תשמרו, תשנו או תמחקו אותם, ואל תשתפו אותם עם איש
- לא לפגוע בפעולת השירות או לשבש אותו, לרבות באמצעות מתקפות מניעת שירות, בדיקות עומס או סריקות אוטומטיות בהיקף גבוה
- לא לשלוח מכתבים בדואר לאיש ללא הסכמתו, ולא לשלוח הודעות ללקוחותינו, לנמעניהם או לצוות שלנו
- לא להשתמש בהנדסה חברתית, בדיוג (phishing) או בהתקפות פיזיות נגד הצוות שלנו, המתקנים שלנו או ספקי השירות שלנו
- לא להשתמש בכרטיס תשלום, ביתרה עסקית או בפרטי הזדהות של אדם אחר
- לעשות רק את מה שנחוץ כדי להראות שהפגיעות קיימת
- לשמור את הפרטים בסודיות עד שנתקן את הבעיה, או עד תום 90 ימים מהדיווח שלכם, לפי המוקדם מביניהם, אלא אם הסכמנו איתכם אחרת
- לציית לחוק
5. מה נעשה מצדנו
כאשר תדווחו על פגיעות בהתאם למדיניות זו, אנו:
- נאשר את קבלת הדיווח שלכם בתוך 2 ימי עסקים
- נודיע לכם אם אנו מצליחים לשחזר את הבעיה, ונעדכן אתכם בהתקדמותנו
- נשאף לתקן פגיעות מאומתת בתוך 90 ימים, ומוקדם יותר כאשר היא מסכנת מידע אישי
- נודיע לכם כשהבעיה תוקנה, ונודה לכם בשמכם אם ביקשתם זאת
אם הבעיה נגעה למידע אישי, נבחן אותה ונודיע לאנשים שנפגעו ולמשרד נציב המידע האוסטרלי, Office of the Australian Information Commissioner, כמתואר בסעיף 11 למדיניות הפרטיות שלנו (https://unopost.com.au/privacy).
6. נמל מבטחים
אם תפעלו בתום לב ובהתאם למדיניות זו, נתייחס למחקר שלכם כמורשה, לא ננקוט נגדכם הליכים משפטיים בקשר אליו ולא נדווח עליכם לרשויות אכיפת החוק. אם צד שלישי ינקוט נגדכם הליכים משפטיים בשל מחקר שעמד במדיניות זו, נבהיר כי המחקר שלכם אושר על ידינו.
האמור לא יחול אם הפרתם מדיניות זו, ניגשתם ליותר ממה שהיה נחוץ לכם, או דרשתם תשלום בתמורה לאי-חשיפת בעיה. אם אינכם בטוחים אם פעולה שאתם מתכוונים לבצע מותרת, שאלו אותנו קודם בכתובת support@unopost.com.au.
7. מה איננו מתייחסים אליו כפגיעות
הדברים הבאים נמצאים בדרך כלל מחוץ להיקף מדיניות זו, אלא אם תוכלו להראות השפעה ממשית על אבטחת השירות או המשתמשים שלנו:
- דיווחים שמקורם בסורקים אוטומטיים ללא הוכחת היתכנות עובדת
- היעדר כותרות אבטחה, דגלי עוגיות (cookie flags) או רשומות אימות דוא״ל (SPF, DKIM, DMARC), כשלעצמו
- Clickjacking בדפים שאין בהם פעולה שעלולה לגרום נזק
- Self-XSS, או בעיות הדורשות גישה פיזית למכשיר לא נעול של משתמש
- חשיפת גרסת תוכנה, או היעדר הגבלת קצב (rate limiting) בפעולות שאין להן השלכה אבטחתית
- מניעת שירות, ופגיעויות בשירותי צד שלישי המתוארים בסעיף 2
8. שינויים במדיניות זו
אנו רשאים לשנות מדיניות זו בכל עת על ידי פרסום גרסה חדשה בדף זה. הגרסה שפורסמה בעת שאתם מגישים דיווח חלה על אותו דיווח.