Ασφάλεια και γνωστοποίηση ευπαθειών

Πώς να αναφέρετε μια αδυναμία

Τι πρέπει να περιλαμβάνει η αναφορά σας

• Την ακριβή διεύθυνση, σελίδα ή endpoint που επηρεάζεται, καθώς και την παράμετρο ή την είσοδο δεδομένων που εμπλέκεται.
• Βήμα προς βήμα οδηγίες για την αναπαραγωγή του προβλήματος, καθώς και τον λογαριασμό ή τον ρόλο που χρησιμοποιήσατε.
• Τι θα μπορούσε πράγματι να πετύχει ένας επιτιθέμενος, με δικά σας λόγια, και πόσο σοβαρό θεωρείτε ότι είναι αυτό.
• Οποιοδήποτε αποδεικτικό στοιχείο χρειάστηκε για να τεκμηριώσετε το πρόβλημα, όπως ένα αίτημα, ένα στιγμιότυπο οθόνης ή ένα σύντομο απόσπασμα αρχείου καταγραφής, περιορισμένο στο ελάχιστο απαραίτητο.
• Το πρόγραμμα περιήγησης, το λειτουργικό σύστημα, καθώς και την ημερομηνία και ώρα της δοκιμής σας, ώστε να μπορούμε να εντοπίσουμε τα αντίστοιχα αρχεία καταγραφής του διακομιστή.
• Πώς θα θέλατε να αναφερθείτε ονομαστικά αν δημοσιεύσουμε τη διόρθωση, ή ότι προτιμάτε να διατηρήσετε την ανωνυμία σας.
• Τα στοιχεία επικοινωνίας σας, αν θέλετε να σας κρατάμε ενήμερους.

Τι εμπίπτει στο πεδίο εφαρμογής

• Τον δημόσιο ιστότοπο chesscentrum.com και την εφαρμογή που εξυπηρετείται μέσω αυτού. Τα υποτομέα που διαχειρίζονται για λογαριασμό μας τρίτοι — ιδίως η υπηρεσία ηλεκτρονικού ταχυδρομείου μας — δεν είναι δικά μας, οπότε δεν μπορούμε να παράσχουμε άδεια δοκιμών σε αυτά· αναφέρετέ τα στον αντίστοιχο φορέα εκμετάλλευσης.
• Τους εναλλακτικούς τομείς chesscentrum.nl, chesscentrum.eu και chesscentrum.net, καθώς και τις παραλλαγές τους με www, οι οποίοι όλοι ανακατευθύνουν στο chesscentrum.com.
• Το περιβάλλον προεπισκόπησης (staging) της ίδιας εφαρμογής, αν το έχετε ήδη εντοπίσει. Δεν δημοσιεύουμε τη διεύθυνσή του εδώ, όμως ένα εύρημα σε αυτό είναι εξίσου ευπρόσδεκτο όσο ένα εύρημα στον ενεργό ιστότοπο.
• Τη λογική της εφαρμογής πίσω από αυτούς τους ιστότοπους: τη σύνδεση χρηστών και τη διαχείριση λογαριασμού, την επαλήθευση ηλεκτρονικού ταχυδρομείου και την επαναφορά κωδικού πρόσβασης, τις λειτουργίες για συνδεδεμένες πλατφόρμες σκακιού και ομοσπονδίες, τον σαρωτή φύλλων καταγραφής κινήσεων, τη ροή εγγραφής και επιβεβαίωσης του ενημερωτικού δελτίου, καθώς και τις ενέργειες και διαδρομές (routes) του διακομιστή που τα υποστηρίζουν.

Τι δεν εμπίπτει στο πεδίο εφαρμογής

• Την υποδομή της Vercel, η οποία φιλοξενεί και εξυπηρετεί τον ιστότοπο.
• Την υποδομή της Supabase, η οποία λειτουργεί τη βάση δεδομένων μας στη Φρανκφούρτη.
• Την υποδομή της Resend, η οποία παραδίδει τα συναλλακτικά μας μηνύματα ηλεκτρονικού ταχυδρομείου και το ενημερωτικό μας δελτίο.
• Τις υπηρεσίες της Google, συμπεριλαμβανομένου του Maps JavaScript API που χρησιμοποιείται στη σελίδα του χάρτη, καθώς και τη σύνδεση μέσω Google όπου προσφέρεται.
• Το Lichess, το οποίο χρησιμοποιούμε ως πάροχο σύνδεσης και ως δημόσια πηγή δεδομένων, καθώς και το Chess.com, το οποίο χρησιμοποιούμε αποκλειστικά ως δημόσια πηγή δεδομένων.
• Τη φυσική πρόσβαση σε, ή επιθέσεις κατά, οποιωνδήποτε εγκαταστάσεων, υλικού εξοπλισμού ή ταχυδρομικής αλληλογραφίας.
• Κοινωνική μηχανική (social engineering), phishing ή οποιαδήποτε άλλη χειραγώγηση των ανθρώπων πίσω από τη ChessCentrum, των προμηθευτών μας ή των χρηστών μας.
• Ογκομετρικές επιθέσεις άρνησης εξυπηρέτησης (denial-of-service), δοκιμές φόρτου, δοκιμές καταπόνησης ή οτιδήποτε άλλο αποσκοπεί στην εξάντληση της χωρητικότητας.
• Ακατέργαστη έξοδο από αυτοματοποιημένο σαρωτή, η οποία υποβάλλεται χωρίς αποδεδειγμένο αντίκτυπο.

Κανόνες για τις δοκιμές

• Μην αποκτάτε πρόσβαση, μην κατεβάζετε, μην αντιγράφετε, μην τροποποιείτε και μη διαγράφετε δεδομένα που ανήκουν σε άλλους.
• Δημιουργήστε τον δικό σας λογαριασμό και δοκιμάστε πάνω σε αυτόν. Μη χρησιμοποιείτε ποτέ τον λογαριασμό κάποιου άλλου, και μην επιχειρείτε ποτέ επιθέσεις τύπου brute-force ή credential stuffing σε λογαριασμούς που δεν σας ανήκουν.
• Σταματήστε στο επίπεδο της απόδειξης εφικτότητας (proof of concept). Μην προχωράτε βαθύτερα μέσα στο σύστημα από όσο απαιτεί το εύρημα, και μη συνδυάζετε ένα εύρημα με άλλα για να δημιουργήσετε μια ευρύτερη παραβίαση προκειμένου να δείτε πόσο μακριά μπορείτε να φτάσετε.
• Μην εκτελείτε δοκιμές άρνησης εξυπηρέτησης, φόρτου ή καταπόνησης, και μην εκτελείτε αυτοματοποιημένες σαρώσεις με ρυθμό που υποβαθμίζει την υπηρεσία για άλλους χρήστες.
• Μην εγκαθιστάτε κακόβουλο λογισμικό, backdoors, web shells ή οποιοδήποτε άλλο μέσο διατήρησης πρόσβασης, και αφαιρέστε οτιδήποτε τυχόν τοποθετήσατε μόλις ολοκληρώσετε.
• Μην τροποποιείτε ή παραμορφώνετε τίποτα, και μην αποστέλλετε ανεπιθύμητα (spam) ή μαζικά μηνύματα μέσω των φορμών μας ή του ηλεκτρονικού μας ταχυδρομείου.
• Μη δημοσιεύετε και μη μοιράζεστε την αδυναμία με κανέναν άλλον πριν συμφωνήσουμε από κοινού για τη γνωστοποίησή της, όπως περιγράφεται παρακάτω.
• Τηρείτε το ολλανδικό δίκαιο και ενεργείτε αναλογικά.

Αν εντοπίσετε δεδομένα προσωπικού χαρακτήρα

Αναφορές για τις οποίες είναι απίθανο να προβούμε σε ενέργειες

• Απουσία ή λανθασμένη διαμόρφωση κεφαλίδας ασφαλείας (security header) χωρίς αποδεδειγμένη εκμετάλλευση (exploit).
• Ευρήματα σχετικά με τις εγγραφές ηλεκτρονικού ταχυδρομείου μας, όπως η διαμόρφωση SPF, DKIM ή DMARC, χωρίς αποδεδειγμένη κατάχρηση.
• Self-XSS, ή οποιοδήποτε πρόβλημα απαιτεί από το θύμα να επικολλήσει κώδικα που παρέχεται από τον επιτιθέμενο στο δικό του πρόγραμμα περιήγησης.
• Απουσία περιορισμού ρυθμού αιτημάτων (rate limiting) σε ένα endpoint, χωρίς αποδεδειγμένη συνέπεια.
• Απαρχαιωμένη βιβλιοθήκη ή έκδοση εξάρτησης, η οποία αναφέρεται χωρίς λειτουργική εκμετάλλευση κατά της δικής μας ανάπτυξης (deployment).
• Clickjacking σε σελίδες που δεν φέρουν καμία ενέργεια η οποία μεταβάλλει κατάσταση.
• Ισχυρισμοί απαρίθμησης χρηστών (user enumeration) σχετικά με ροές στις οποίες σκόπιμα απαντάμε με τον ίδιο τρόπο, όπως η εγγραφή στο ενημερωτικό δελτίο και η επαναφορά κωδικού πρόσβασης.
• Συμβουλές βέλτιστων πρακτικών σχετικά με τις ρυθμίσεις των τρίτων παρόχων μας, τις οποίες δεν ελέγχουμε.

Τι μπορείτε να περιμένετε από εμάς

• Επιβεβαιώνουμε την παραλαβή της αναφοράς σας εντός 5 εργάσιμων ημερών.
• Σας παρέχουμε μια ουσιαστική αξιολόγηση, συμπεριλαμβανομένου του αν μπορούμε να αναπαραγάγουμε το πρόβλημα και πώς αξιολογούμε τη σοβαρότητά του, εντός 10 εργάσιμων ημερών από την εν λόγω επιβεβαίωση.
• Σας κρατάμε ενήμερους τουλάχιστον μία φορά κάθε 14 ημέρες έως ότου κλείσει η αναφορά, ακόμη και όταν το μόνο νέο είναι ότι η διόρθωση βρίσκεται ακόμη σε εξέλιξη.
• Στοχεύουμε να διορθώσουμε μια επιβεβαιωμένη αδυναμία στον δικό μας κώδικα εντός 90 ημερών. Όταν η διόρθωση εξαρτάται από τρίτο μέρος ή από εξάρτηση την οποία δεν ελέγχουμε, μπορεί να χρειαστεί περισσότερος χρόνος, και θα σας εξηγήσουμε γιατί και τι αναμένουμε.
• Σας ενημερώνουμε όταν η διόρθωση τεθεί σε παραγωγική λειτουργία, ώστε να μπορείτε να την επαληθεύσετε.
• Σας αναφέρουμε ονομαστικά στη διόρθωση ή στις σημειώσεις έκδοσής μας αν επιθυμείτε την αναγνώριση, χρησιμοποιώντας το όνομα ή το ψευδώνυμο που μας δίνετε, και δεν αναφέρουμε τίποτα για εσάς αν προτιμάτε να διατηρήσετε την ανωνυμία σας.
• Αντιμετωπίζουμε την αναφορά σας ως εμπιστευτική και δεν κοινοποιούμε τα στοιχεία σας σε τρίτους χωρίς τη συγκατάθεσή σας, εκτός αν αυτό απαιτείται από τον νόμο.

Ανταμοιβές: κανένα πρόγραμμα bug bounty

Συντονισμένη γνωστοποίηση και δημοσίευση

Η νομική μας θέση

Κλιμάκωση και στοιχεία αναφοράς

Διεύθυνση αναφοράς

contact@chesscentrum.com

Η παρούσα πολιτική

https://chesscentrum.com/el/security

security.txt

https://chesscentrum.com/.well-known/security.txt

Προτιμώμενες γλώσσες

ολλανδικά, αγγλικά, γερμανικά, γαλλικά, ισπανικά, πορτογαλικά

Επιβεβαίωση παραλαβής

Εντός 5 εργάσιμων ημερών· ουσιαστική αξιολόγηση εντός επιπλέον 10 εργάσιμων ημερών

Προθεσμία γνωστοποίησης

90 ημέρες ως προεπιλογή, διαπραγματεύσιμη και προς τις δύο κατευθύνσεις

Bug bounty

Κανένα. Αντ' αυτού προσφέρεται δημόσια αναγνώριση, αν το επιθυμείτε

Κλιμάκωση

NCSC-NL, cert@ncsc.nl