Ответственное раскрытие информации

O FootballCoin

FootballCoin дает вам возможность продемонстрировать свои управленческие способности, позволяя вам создать свою идеальную футбольную команду. При входе в игру вы сможете зарегистрироваться на соревнования, создать список команды, и выиграть призы на основе ваших футбольных знаний.

Поскольку платформа работает с некоторой конфиденциальной информацией о наших пользователях, включая их монеты XFC и коллекционные карточки игроков, мы ценим все возникающие проблемы безопасности и постоянно стремимся быть в курсе последних угроз.

Мы призываем исследователей безопасности выявлять и представлять отчеты об уязвимостях в отношении всего, что входит в сферу действия FootballCoin, включая, помимо прочего, веб-сайт, приложение и услуги.

Объем программы / целевые объекты

Из целевых показателей

• www.footballcoin.io
• game.footballcoin.io
• XFC blockchain components (e.g. blockchain, node, wallet)

Вне сферы охвата целевых показателей

Все ресурсы, которые не определены в объеме.

Вне области уязвимости

• Теоретические уязвимости без фактического доказательства концепции
• Недостатки проверки электронной почты, истечение срока действия ссылок сброса пароля и политики сложности паролей
• Недопустимые или отсутствующие записи SPF (Sender Policy Framework) (неполные или отсутствующие записи SPF / DKIM/DMARC)
• Clickjacking / UI восстановление с минимальным воздействием на безопасность
• Перечисление по электронной почте или с мобильного телефона (например, возможность идентифицировать электронные письма с помощью сброса пароля)
• Раскрытие информации с минимальным воздействием на безопасность (например. трассировки стека, раскрытие пути, списки каталогов, журналы, ошибки приложения или сервера)
• Внутренне известные проблемы, повторяющиеся проблемы или проблемы, которые уже были обнародованы
• Tab-Арест
• Self-XSS (межсайтовый скриптинг)
• Уязвимости, которые можно использовать только в устаревших браузерах или платформах
• Уязвимости, связанные с автоматическим заполнением веб-форм
• Использование известных уязвимых библиотек без фактического подтверждения концепции
• Отсутствие флагов безопасности в cookies
• Проблемы, связанные с небезопасными наборами шифров SSL/TLS или версией протокола
• Подмена контента
• Проблемы, связанные с контролем кэша
• Выставление внутреннего IP-адреса или доменов
• Отсутствие заголовков, которые не приводят к прямой эксплуатации
• CSRF с незначительным влиянием на безопасность (например, добавление в избранное, добавление в корзину, подписка на некритическую функцию)
• Проблемы, которые не влияют на безопасность (например, ошибка при загрузке веб-страницы)
• Активы, которые не принадлежат FootballCoin
• Фишинг (например, Фишинг HTTP Basic Authentication), Спам или Социальная инженерия
• Уязвимости в CORS без подтверждения концепции
• Отсутствие ограничения скорости

Действия и тесты, которые стоят избежать

• Тестирование учетных записей, отличных от ваших собственных
• Использование инструментов автоматического тестирования, таких как сканеры уязвимостей, перебор и т. д.
• Создание или попытка создания условия отказа в обслуживании (DoS)
• Уничтожение данных
• Автоматическое сканирование уязвимостей строго запрещено
• Ни в коем случае не атакуйте наших конечных пользователей и не участвуйте в торговле украденными учетными данными пользователей.
• Никакого фишинга
• Не используйте методы шантажа, чтобы просить о финансовой выгоде

Как сообщить об уязвимостях безопасности?

Мы используем методологию оценки рисков OWASP, чтобы определить  уровень угрозы для информации сайта и / или сети XFC. Вы можете отправить нам сообщение со своими находками по адресу security@footballcoin.io с учетом следующих шагов, по соглашению:

1. Отправьте нам краткое описание уязвимости, которое должно содержать по крайней мере следующее:
   1. Название уязвимости
   2. Затронутая страница / url / ip / service
   3. Шаги по воспроизведению проблемы
   4. Доказательство уязвимости
   5. Воздействие (на основе методологии оценки риска OWASP)
   6. Как устранить проблему
2. После отправки мы подтвердим, что получили ваш отчет с неавтоматизированным ответом в течение 7 дней, и предоставим общий план ответа, где это применимо. Отчет будет проверен независимыми сторонними специалистами по безопасности из Bit Sentinel, поставщика услуг кибербезопасности с признанной миссией по защите бизнеса от киберугроз.
3. Мы подтверждаем проблему и начинаем работу над патчем
4. Мы подтверждаем, что исправили проблему, и просим вас повторно проверить ошибку.
5. Вы будете добавлены в Зал славы и, если уязвимость будет принята за вознаграждение, вы получите вознаграждение
6. Уязвимость может быть ответственно раскрыта и опубликована после нашего согласия, но не ранее, чем через 60 календарных дней после того, как вы уведомили FootballCoin; раскрытие не должно содержать никакой конфиденциальной информации о нашей технологии или информации о клиентах.

Обратите внимание, что мы также принимаем анонимные заявки.

Вознаграждение

Любая уязвимость, сообщенная и принятая независимыми сторонними специалистами по безопасности от Bit Sentinel, появится в Зале Славы максимум через 30 дней после подтверждения ошибки.

Мы можем предложить вознаграждение в виде монет XFC или коллекционных карточек игрока за сообщения о критических уязвимостях, но вознаграждение такого типа пока не гарантировано.

Мы не будем предлагать вознаграждения лицам, которые включены в списки санкций или находятся в странах, включенных в списки санкций. Любые налоговые последствия подпадают под вашу полную ответственность, в зависимости от страны проживания и гражданства. Кроме того, могут применяться дополнительные ограничения, также в зависимости от вашего местного законодательства.

Зал славы

Мы хотим поблагодарить всех исследователей в области безопасности, которые помогли нам улучшить безопасность нашего продукта. Особо следует отметить следующее:

• Tirtha Mandal

Наши обязательства

Если ваши действия выполняются добросовестно и в соответствии с этой политикой, мы обязуемся сделать следующее:

• Информация, которой вы делитесь с нами в рамках этого процесса, будет храниться в конфиденциальном порядке в FootballCoin и в наших напрямую связанных поставщиках, участвующих в этом процессе. Он не будет передан третьим лицам без вашего разрешения.
• Мы не будем предпринимать никаких юридических действий против исследователей безопасности, пытающихся найти уязвимости в наших системах, которые придерживаются этой политики и не пытаются отфильтровать конфиденциальную информацию для злонамеренного использования.
• Если вы сообщите об уязвимости, которая существенно влияет на наши услуги или инфраструктуру, мы благодарим вас публично.

Другие ограничения

• Это не соревнование, а скорее экспериментальная и дискреционная программа вознаграждений. Вы должны понимать, что мы можем отменить программу в любое время, и решение о выплате вознаграждения должно приниматься исключительно по нашему усмотрению.
• Ваше тестирование не должно нарушать какие-либо законы, нарушать или ставить под угрозу любые данные, которые не являются вашими собственными.
• Чтобы избежать потенциальных конфликтов интересов, мы не будем предоставлять вознаграждения людям, работающим в компаниях FootballCoin, которые разрабатывают код для устройств, охватываемых этой программой.
• Если применимо, FootballCoin будет координировать публичное уведомление о подтвержденной уязвимости с вами. Когда это возможно, мы бы предпочли, чтобы наши соответствующие публичные раскрытия размещались одновременно.