Gestionar las cookies que se utilizan con fines publicitarios, como la personalización de anuncios, el remarketing y el análisis del rendimiento de los anuncios.
Para nosotros es importante mantener seguros los datos de los usuarios, por lo que estamos dispuestos a cooperar con las personas que buscan vulnerabilidades y las recompensan.
Recompensa
Alojar Ucrania proporciona una recompensa por las vulnerabilidades encontradas. El monto mínimo de remuneración es 50$, máximo 1000$. El monto de la recompensa depende del nivel de vulnerabilidad, que está determinado por qué tan realista es usar la vulnerabilidad:
- Nivel alto — hasta 1000$. Acceso a la base de datos central, acceso al código fuente, ejecución de comandos arbitrarios en el servidor central, ejecución de comandos arbitrarios en el servidor de alojamiento como root.
- Nivel medio — hasta 250$.
- Nivel bajo: hasta 150$. Ataques potenciales que son difíciles de realizar o para los cuales deben coincidir una gran cantidad de factores.
- Todos los ataques XSS que requieren seguir un enlace tienen un límite de 50$.
- Las vulnerabilidades encontradas en las versiones alfa y beta de los servicios están limitadas a 150$. (29/11/2022)
Informes
Para aumentar la confianza en las partes, el proceso de presentación de un informe de vulnerabilidad se realiza de acuerdo con el siguiente algoritmo:
- Escribir a email consulta sobre la posibilidad de presentar un informe. Responderemos que estamos preparados para aceptar la nueva vulnerabilidad. Sólo lo haremos si no tenemos otras vulnerabilidades en trámite. Porque puede darse la situación de que otra persona ya haya informado de la misma vulnerabilidad, y puede resultar que usted haya presentado una vulnerabilidad pero no reciba una recompensa por ello.
- Después de obtener el consentimiento, verifica la posibilidad de aprovechar la vulnerabilidad.
- Envía sólo un fallo. No deberías enviar muchos fallos a la vez, porque a menudo hay casos en los que al cerrar una vulnerabilidad se cierra en otros lugares a la vez. Después de todo, una línea de código puede ser llamada desde cientos de lugares en un programa.
- Estudiamos el impacto y la realidad de explotar la vulnerabilidad.
- Arreglamos el error.
- Pagamos la remuneración a PayPal, cuenta corriente o tarjeta. No tenemos la capacidad de realizar pagos en criptomonedas (Bitcoin y otras), ya que no las utilizamos.
Condiciones
- El programa no incluye desarrollo de terceros, vulnerabilidades del sistema operativo de día cero, errores en los núcleos del procesador y otras vulnerabilidades en las que no podemos influir.
- El programa se distribuye únicamente en el software creado por nosotros, que se puede encontrar en los sitios web ukraine.com.ua, auth.adm.tools, webmail.online y adm.tools.
- No utilice la vulnerabilidad encontrada para cambiar información u obtener acceso no autorizado a ella. Utilice su cuenta para realizar pruebas.
- Háganos saber lo antes posible si ha cambiado inadvertidamente datos que no deberían modificarse. No vea, modifique ni guarde los datos que se obtuvieron en caso de una vulnerabilidad.
- Actúe con buenas intenciones para no violar la privacidad de otros usuarios, no desactive los servicios.
- Actúe dentro de la ley.
- La recompensa es para la primera persona que informa sobre la vulnerabilidad.
- La publicación de una vulnerabilidad en Internet antes de su resolución puede resultar en la cancelación de la recompensa. No negociaremos en respuesta a amenazas (por ejemplo, no negociaremos un monto de pago bajo la amenaza de ocultar una vulnerabilidad o de revelar una vulnerabilidad o cualquier divulgación al público).
- La velocidad de procesamiento de errores depende de la gravedad de los errores y de la carga de trabajo de los programadores y demora de 3 a 30 días.
Vulnerabilidades por las que no se paga remuneración
Las siguientes preguntas están fuera del alcance de nuestro programa de recompensas:
- Nuestra política con respecto a la presencia / ausencia de registros SPF / DMARC.
- Políticas de contraseña, correo electrónico y cuenta, como verificación de ID de correo electrónico, restablecimiento de caducidad de enlace, complejidad de contraseña
- Falta de tokens CSRF (si no hay evidencia de una acción real y confidencial del usuario que no esté protegida por un token).
- Ataques que requieren acceso físico al dispositivo del usuario. Así como ataques relacionados con la interceptación del tráfico.
- No hay encabezados de seguridad que no conduzcan directamente a una vulnerabilidad.
- Falta de mejores prácticas (necesitamos evidencia de la vulnerabilidad del sistema).
- Colocar contenido malicioso / arbitrario en el alojamiento.
- Cualquier ataque dirigido a sí mismo, como Self-XSS.
- Aceptaremos informes de vulnerabilidades en el sistema operativo y productos de terceros, pero no los recompensaremos.
- Inyecciones de encabezado de host si no puede mostrar cómo pueden conducir al robo de datos del usuario.
- Usando una biblioteca vulnerable conocida (sin prueba de uso).
- Informes de escaneos o herramientas automatizadas.
- Vulnerabilidades que afectan a los usuarios de navegadores o plataformas obsoletos.
- Ingeniería social de empleados o contratistas de Hosting Ukraine.
- La presencia del atributo de autocompletar en formularios web.
- Faltan banderas de cookies para cookies insensibles.
- Informes de cifrados SSL / TLS inseguros (a menos que tenga una prueba de concepto funcional, no solo un informe de un escáner).
- La posibilidad de determinar si el usuario está registrado en el hosting, si se conoce su correo electrónico.
- Cualquier informe sobre elusión de nuestras restricciones de servicio.
- Las vulnerabilidades de suplantación de contenido (cuando solo puede insertar texto o una imagen en una página) están fuera del alcance. Aceptaremos y corregiremos una vulnerabilidad de suplantación de identidad en la que un atacante puede ingresar una imagen o texto enriquecido (HTML) pero no es elegible para una recompensa. La introducción de texto puro está fuera del alcance.
- Cree varias cuentas con la misma dirección de correo electrónico.
- Riesgo de phishing debido a problemas de Unicode / punycode o RTLO.
- Vulnerabilidad debido al hecho de que deshabilitamos DMARC. No es una vulnerabilidad que los servidores de terceros ignoren los registros SPF y acepten correos electrónicos de servicios de terceros (incluido Gmail).
- Cualquier tipo de inundación y ataques de fuerza bruta, DoS y DDoS, así como ataques relacionados con la disminución del rendimiento del servidor.
- Ataques en los que el atacante tiene acceso al correo electrónico o teléfono de la víctima.
- Faltan encabezados de seguridad COEP, COOP, CORS, CORB, Referrer-policy, Content-Security-Policy, HSTS, Cookie-prefix, SameSiteCookie...
- Disponibilidad de información sobre el software que se utiliza. Somos un proveedor de alojamiento y anunciamos información sobre el software instalado a los clientes. Por lo tanto, esta información no puede ser clasificada.
- Obtener la dirección IP de un empleado de la empresa no es una vulnerabilidad. El soporte técnico abre enlaces, puede enviar un enlace de phishing o un archivo SVG al correo, etc.
- La presencia de datos EXIF en los archivos de imagen que envían los usuarios. Nuestros clientes no publican sus fotos personales en nuestro sitio, que pueden contener EXIF con coordenadas valiosas.
- Cargando archivos SVG. Los guardamos como archivos adjuntos y no los mostramos en el sitio. Esto evita obtener datos del sitio.
- Social Engeneering Attacks.
- Presencia de registros CAA en DNS.
- «Ataques amistosos», gastados por los usuarios a los que la víctima dio acceso a los servicios. 16/05/2023
- Cualquier CVE público, vulnerabilidades CWE de software público, certificados, etc.
- Ataques que requieren acceso físico al ordenador de la víctima. 26/01/2024
Provisiones finales
- Usted es responsable de pagar los impuestos relacionados con los premios.
- Podemos cambiar los términos de este programa o cancelarlo en cualquier momento. No aplicaremos ningún cambio realizado a estos términos del programa de forma retroactiva.
- Los empleados de Hosting Ukraine y sus familiares no son elegibles para recibir una remuneración.
- Hosting Ukraine puede proporcionarle acceso gratuito a los productos. Este acceso es solo para fines de prueba y puede ser revocado en cualquier momento con o sin previo aviso.