Richtlinie zur verantwortungsvollen Offenlegung von Schwachstellen

Die TOO „Gamechanger“ widmet der Sicherheit ihrer Internetressourcen, Softwareprodukte und Informationssysteme Aufmerksamkeit.

Trotz der ergriffenen Schutzmaßnahmen kann kein Informationssystem als absolut unverwundbar gelten.

Wenn ein Sicherheitsforscher, Benutzer, Kunde oder eine andere Person eine potenzielle Schwachstelle in einem System von Gamechanger entdeckt hat, bitten wir darum, diese auf verantwortungsvolle Weise zu melden, damit das Team das Problem prüfen und die erforderlichen Maßnahmen ergreifen kann.

Diese Richtlinie legt fest:

• wohin Informationen über eine Schwachstelle zu richten sind;
• welche Angaben möglichst bereitgestellt werden sollten;
• welche Handlungen zulässig sind;
• welche Handlungen verboten sind;
• wie Gamechanger Meldungen prüft;
• wie die öffentliche Offenlegung von Informationen geregelt ist.

Die Richtlinie gilt in erster Linie für öffentliche Internetressourcen, die der TOO „Gamechanger“ gehören oder von ihr verwaltet werden, darunter:

• gamechanger.kz;
• gamechangercraft.kz;
• gamechangerweb.kz;
• deren Subdomains;
• öffentliche APIs von Gamechanger;
• öffentliche Dienste und Anwendungen von Gamechanger, sofern für diese keine gesonderte Sicherheitsrichtlinie festgelegt ist.

Das Bestehen dieser Richtlinie bedeutet keine automatische Erlaubnis, beliebige Systeme, Infrastruktur, Server oder Produkte von Gamechanger zu testen.

Ist eine Ressource nicht ausdrücklich genannt oder ist die Zugehörigkeit eines Systems nicht eindeutig, muss vor aktiven Tests eine Erlaubnis eingeholt werden.

Diese Richtlinie erteilt keine Erlaubnis, Systeme der Kunden von Gamechanger zu testen.

Selbst wenn ein Produkt:

• von Gamechanger entwickelt wurde;
• von Gamechanger betreut wird;
• einen Hinweis auf Gamechanger enthält;
• technisch mit der Infrastruktur von Gamechanger verbunden ist,

kann es einer anderen juristischen Person gehören.

Für die Untersuchung eines solchen Systems ist die Erlaubnis seines Eigentümers erforderlich.

Wurde eine potenzielle Schwachstelle zufällig entdeckt, können die Informationen an Gamechanger übermittelt werden, und wir werden uns bemühen, sie an den jeweiligen Eigentümer oder die zuständige Fachkraft weiterzuleiten.

Gemeldet werden können insbesondere folgende potenzielle Probleme:

• Fehler in der Zugriffskontrolle;
• IDOR;
• Verletzungen der Autorisierung;
• Umgehung der Authentifizierung;
• SQL Injection;
• Command Injection;
• XSS;
• SSRF;
• CSRF;
• unsicherer Datei-Upload;
• Fehlkonfiguration;
• Abfluss von Geheimnissen (Secrets);
• offen zugängliche API-Schlüssel;
• unsichere APIs;
• Fehler in der Sitzungsverwaltung;
• Abfluss personenbezogener Daten;
• Offenlegung vertraulicher Informationen;
• Fehlkonfiguration der Cloud-Infrastruktur;
• verwundbare Abhängigkeiten;
• Fehler in der Geschäftslogik;
• Möglichkeit der Rechteausweitung;
• kritische Probleme von KI-Schnittstellen;
• Offenlegung des internen KI-Kontexts;
• Zugriff der KI auf Daten eines anderen Benutzers;
• sonstige Probleme, die die Vertraulichkeit, Integrität oder Verfügbarkeit des Systems tatsächlich beeinträchtigen können.

Senden Sie eine E-Mail an: Developers@Gamechanger.kz

Möglichst anzugeben sind:

• URL oder Bezeichnung der betroffenen Ressource;
• Art der vermuteten Schwachstelle;
• kurze Beschreibung;
• Schritte zur Reproduktion;
• erwartetes Verhalten;
• tatsächliches Verhalten;
• potenzielle Auswirkungen;
• Datum und Uhrzeit der Entdeckung;
• Browser, Gerät oder sonstiger technischer Kontext, sofern dieser von Bedeutung ist;
• minimal erforderlicher Nachweis für das Bestehen des Problems.

Bei Bedarf können beigefügt werden:

• Screenshot;
• sicherer Proof of Concept;
• HTTP-Anfrage;
• Ausschnitt der Serverantwort;
• Logs, die keine überflüssigen personenbezogenen Daten enthalten;
• Video der Reproduktion.

Der Sicherheitsforscher muss bestrebt sein, das Vorliegen einer potenziellen Schwachstelle mit möglichst geringer Auswirkung zu bestätigen.

Wenn es zur Bestätigung ausreicht:

• die Tatsache des Zugriffs zu sehen;
• ein einziges eigenes Testobjekt abzurufen;
• die Möglichkeit einer Handlung zu bestätigen, ohne diese tatsächlich auszuführen,

sollte die Ausnutzung nicht fortgesetzt werden.

Ziel einer Forschung in gutem Glauben ist es, das Problem aufzuzeigen, und nicht zu beweisen, wie groß der Schaden ist, der verursacht werden kann.

Wenn Sie bei der Untersuchung zufällig personenbezogene Daten einer anderen Person entdeckt haben: Untersuchen Sie diese nicht weiter.

Sie sollten nicht:

• einen Datenbestand herunterladen;
• die Datenbank kopieren;
• zusätzliche Anfragen zu fremden Datensätzen stellen;
• gefundene Informationen verbreiten;
• Screenshots mit offen sichtbaren personenbezogenen Daten veröffentlichen.

Halten Sie nur den minimalen Umfang an Informationen fest, der zur Bestätigung des Problems erforderlich ist, und informieren Sie Gamechanger.

Wenn durch die Schwachstelle zufällig Folgendes offengelegt wurde:

• Quellcode;
• Verträge;
• Geschäftsgeheimnisse;
• Schlüssel;
• interne Dokumente;
• Konfiguration;
• Kundendaten;
• private Repositories,

muss der Sicherheitsforscher die weitere Beschaffung von Informationen einstellen, sobald das Problem ausreichend bestätigt ist.

Die erlangten Informationen dürfen nicht für andere Zwecke verwendet werden.

Wenn Folgendes entdeckt wurde:

• API-Schlüssel;
• Passwort;
• Token;
• privater Schlüssel;
• credential;
• Geheimnis (Secret) der Cloud-Infrastruktur,

sollte dieses nicht zur Untersuchung weiterer Systeme verwendet werden.

In der Meldung genügt es anzugeben:

• wo das Geheimnis gefunden wurde;
• zu welcher Art von System es vermutlich gehört;
• minimale Informationen, die seine potenzielle Gültigkeit bestätigen.

Gamechanger führt die Rotation und die interne Überprüfung selbst durch.

Im Rahmen dieser Richtlinie sind angemessene Handlungen mit minimaler Auswirkung zulässig, zum Beispiel:

• Untersuchung öffentlich zugänglicher Informationen;
• Analyse des clientseitigen Teils der Website;
• Überprüfung der eigenen Daten und der eigenen Benutzersitzung;
• sichere Überprüfung eines vermuteten Fehlers;
• Erstellung eines minimalen Proof of Concept;
• Senden einer begrenzten Anzahl von Anfragen, wie sie für die Reproduktion erforderlich ist;
• Analyse öffentlicher HTTP-Header und der Konfiguration;
• Meldung eines zufällig entdeckten Problems.

Jede Situation wird unter Berücksichtigung der Art der Handlungen und ihrer Auswirkungen bewertet.

Massenhaftes automatisiertes Scannen gilt durch diese Richtlinie nicht automatisch als erlaubt.

Der Grund ist einfach: Selbst ein Standard-Scanner kann:

• eine erhebliche Last erzeugen;
• eine Sperrung auslösen;
• eine instabile Funktion beschädigen;
• eine große Anzahl falscher Sicherheitsereignisse erzeugen.

Für intensive automatisierte Tests ist eine vorherige Abstimmung erforderlich.

Betrifft die vermutete Schwachstelle den Zugriff auf Objekte eines anderen Benutzers, wird empfohlen, Folgendes zu verwenden:

• eigene Testkonten;
• Testdaten;
• ein minimales sicheres Szenario.

Besteht bei dem betreffenden Dienst keine Registrierung und ist eine sichere Überprüfung der Hypothese nicht möglich, ist es besser, das potenzielle Problem ohne weitere Ausnutzung zu melden.

Gamechanger nimmt auch Meldungen über potenzielle Probleme von KI-Schnittstellen entgegen.

Zum Beispiel:

• Offenlegung von Daten eines anderen Benutzers;
• Zugriff auf interne Dokumente ohne entsprechende Berechtigungen;
• Offenlegung geheimer Schlüssel;
• Umgehung von Zugriffsbeschränkungen für die Wissensdatenbank;
• Erlangung vertraulicher Systeminformationen;
• Möglichkeit, die KI als Weg zu unbefugtem Zugriff zu nutzen;
• gefährliche Fehler bei der Integration der KI mit externen Werkzeugen.

Dabei bedeutet der Erhalt einer KI-Antwort, die ungewöhnlich oder falsch erscheint, für sich genommen noch nicht, dass eine Sicherheitslücke vorliegt.

Untersuchungen zu Prompt Injection sind nur in einem Rahmen zulässig, der kein reales Risiko für Daten oder Infrastruktur schafft.

Prompt Injection sollte nicht verwendet werden zur:

• Erlangung fremder personenbezogener Daten;
• Erlangung von Schlüsseln;
• Umgehung der tatsächlichen Autorisierung;
• Ausführung unbefugter Handlungen in externen Systemen;
• Änderung oder Löschung von Daten.

Wurde ein Weg gefunden, die KI zur Offenlegung interner Anweisungen zu veranlassen, ohne dass dabei Zugriff auf sensible Daten besteht, kann dies als potenzielles Problem gemeldet werden.

Eine entdeckte Schwachstelle darf nicht verwendet werden:

• zur Erzielung eines kommerziellen Vorteils zulasten der Benutzer;
• zur Erpressung durch Drohung mit kompromittierenden Informationen;
• zur Erpressung von Leistungen;
• zur unentgeltlichen Inanspruchnahme von Leistungen durch Umgehung von Zahlungsmechanismen;
• zur Änderung fremder Daten;
• zur Erlangung von Wettbewerbsinformationen;
• für Angriffe auf Dritte.

Responsible Disclosure endet dort, wo die Ausnutzung zum Zweck eines Vorteils oder einer Schädigung beginnt.

Wir bitten darum, technische Einzelheiten einer Schwachstelle nicht unmittelbar nach ihrer Entdeckung zu veröffentlichen.

Vor einer öffentlichen Offenlegung wird empfohlen, Gamechanger eine angemessene Zeit einzuräumen, um:

• das Problem zu bestätigen;
• seine Auswirkungen zu bestimmen;
• eine Korrektur zu entwickeln;
• die Korrektur zu prüfen;
• betroffene Personen zu benachrichtigen, sofern dies erforderlich ist;
• die gesetzlich vorgeschriebenen Pflichtmaßnahmen durchzuführen.

Möchte der Sicherheitsforscher Informationen über eine Schwachstelle veröffentlichen, wird empfohlen, vorab Folgendes abzustimmen:

• Datum der Veröffentlichung;
• Umfang der technischen Details;
• Notwendigkeit, personenbezogene Daten unkenntlich zu machen;
• Notwendigkeit, Angaben zur Infrastruktur unkenntlich zu machen;
• Status der Korrektur.

Gamechanger verfolgt nicht das Ziel, die Offenlegung eines Problems in gutem Glauben unbefristet zu untersagen.

Ziel ist es, eine Situation zu verhindern, in der eine Anleitung zur Ausnutzung der Schwachstelle veröffentlicht wird, bevor die Benutzer geschützt sind.

Zu potenziell kritischen Meldungen können gehören:

• Remote-Code-Ausführung;
• vollständige Umgehung der Autorisierung;
• massenhafter Abfluss personenbezogener Daten;
• Zugriff auf die Production-Infrastruktur;
• Kompromittierung der Administrationsoberfläche;
• Erlangung kritischer Geheimnisse;
• Möglichkeit, wesentliche Daten zu ändern;
• eine Schwachstelle, die Angriffe auf eine große Anzahl von Benutzern ermöglicht.

In solchen Fällen ist es wünschenswert, im Betreff der E-Mail anzugeben: SECURITY — CRITICAL

Nach Eingang einer Meldung kann Gamechanger:

1. die Meldung registrieren;
2. eine Erstbewertung durchführen;
3. versuchen, das Problem zu reproduzieren;
4. das Risikoniveau bestimmen;
5. zusätzliche Informationen anfordern;
6. eine Korrektur entwickeln;
7. die Korrektur prüfen;
8. die erforderlichen Maßnahmen zur Reaktion auf den Vorfall durchführen.

Gamechanger ist bestrebt, den Eingang qualifizierter Meldungen über Schwachstellen zu bestätigen.

Die Geschwindigkeit der weiteren Kommunikation hängt ab von:

• der Schwere des Problems;
• der Komplexität der Reproduktion;
• dem betroffenen System;
• der Notwendigkeit, einen Drittanbieter einzubeziehen;
• der Art der erforderlichen Korrektur.

Diese Richtlinie legt kein garantiertes SLA für unentgeltliche Meldungen von Sicherheitsforschern fest.

Bei der Bewertung eines Problems können berücksichtigt werden:

• Ausnutzbarkeit;
• erforderliche Berechtigungen;
• Notwendigkeit einer Benutzerinteraktion;
• Umfang der zugänglichen Daten;
• potenzieller Schaden;
• Anzahl der betroffenen Benutzer;
• Komplexität des Angriffs;
• Vorhandensein kompensierender Maßnahmen;
• Möglichkeit der Ausnutzung aus der Ferne.

Für die technische Bewertung können allgemein anerkannte Ansätze, einschließlich CVSS, verwendet werden, die endgültige Priorität wird jedoch auch durch den geschäftlichen Kontext bestimmt.

Mehrere Sicherheitsforscher können unabhängig voneinander dasselbe Problem entdecken.

Beschreibt eine Meldung eine Gamechanger bereits bekannte Schwachstelle, kann sie als Duplikat gekennzeichnet werden.

Das bedeutet nicht, dass die Meldung nutzlos war.

Einige Meldungen können nicht als Schwachstelle, sondern als Empfehlung zur Stärkung der Sicherheit eingestuft werden.

Zum Beispiel:

• Fehlen eines bestimmten optionalen Security Headers;
• Offenlegung von Informationen, die bereits öffentlich sind;
• theoretischer Angriff ohne praktisch umsetzbares Szenario;
• Softwareversion ohne bestätigte anwendbare Schwachstelle.

Solche Meldungen können dennoch nützlich sein und vom Team geprüft werden.

Zum Zeitpunkt dieser Fassung gilt: Die Veröffentlichung dieser Richtlinie bedeutet nicht, dass ein öffentliches Bug Bounty Program besteht, und garantiert keine Geldbelohnung.

Sollte Gamechanger beschließen, für eine einzelne Meldung eine Belohnung zu zahlen, kann dies individuell oder im Rahmen eines gesonderten Programms festgelegt werden.

Der Sicherheitsforscher darf nicht allein aufgrund der Tatsache, dass er eine Meldung übermittelt hat, von einer Verpflichtung von Gamechanger ausgehen, die Untersuchung zu vergüten.

Diese Richtlinie ist kein Vertrag über die Durchführung von:

• penetration testing;
• security audit;
• red team;
• Lasttests;
• umfassenden Scans der Infrastruktur.

Solche Arbeiten erfordern eine gesonderte schriftliche Abstimmung.

Bei der Bewertung der Handlungen eines Sicherheitsforschers berücksichtigt Gamechanger:

• ob er mit dem Ziel gehandelt hat, ein Problem zu melden;
• ob er die Auswirkungen begrenzt hat;
• ob er die Untersuchung nach ausreichender Bestätigung beendet hat;
• ob er keine fremden Daten verwendet hat;
• ob er keinen vorsätzlichen Schaden verursacht hat;
• ob er nicht versucht hat, einen rechtswidrigen Vorteil zu erlangen;
• ob er das Problem auf verantwortungsvolle Weise gemeldet hat.

Diese Richtlinie beschreibt das bevorzugte Verfahren für eine verantwortungsvolle Zusammenarbeit mit Gamechanger.

Sie erteilt keine Erlaubnis, Handlungen vorzunehmen, die nach den Rechtsvorschriften der Republik Kasachstan verboten sind, und kann gesetzliche Anforderungen nicht außer Kraft setzen.

Ist sich der Sicherheitsforscher nicht sicher, ob eine bestimmte Handlung zulässig ist, ist es vernünftiger, innezuhalten und vor ihrer Ausführung eine Erlaubnis einzuholen.

Der Sicherheitsforscher kann angeben:

• Name;
• Pseudonym;
• Organisation;
• Kontakt für Rückmeldungen.

Gamechanger verwendet die bereitgestellten Kontaktdaten zur Bearbeitung der Meldung und zur Kommunikation über das Problem.

Bittet der Sicherheitsforscher darum, seinen Namen bei einer etwaigen Veröffentlichung von Informationen über die Korrektur nicht zu nennen, berücksichtigt Gamechanger diese Bitte in angemessenem Rahmen.

Mit Zustimmung des Sicherheitsforschers kann Gamechanger ihm öffentlich für die verantwortungsvolle Meldung danken.

Veröffentlicht werden können zum Beispiel:

• Name;
• Pseudonym;
• Profil;
• Name der Organisation.

Ohne entsprechende Grundlage dürfen personenbezogene Daten des Sicherheitsforschers nicht allein deshalb veröffentlicht werden, weil er eine Schwachstelle gemeldet hat.

Personenbezogene Daten, die im Zusammenhang mit der Meldung einer Schwachstelle erlangt werden, werden verarbeitet gemäß:

• der Datenschutzerklärung von Gamechanger;
• den Rechtsvorschriften der Republik Kasachstan.

Die Daten können in dem Umfang gespeichert werden, der erforderlich ist für:

• die Untersuchung;
• die Behebung des Problems;
• die Gewährleistung der Sicherheit;
• die Verhinderung wiederholter Vorfälle;
• die Erfüllung rechtlicher Pflichten.

Deutet eine Meldung auf eine mögliche Verletzung der Sicherheit personenbezogener Daten hin, führt Gamechanger eine gesonderte Bewertung des Vorfalls durch und ergreift die Maßnahmen, die in den Rechtsvorschriften der Republik Kasachstan und den internen Verfahren der Gesellschaft vorgesehen sind.

Der Sicherheitsforscher sollte potenziell betroffene Benutzer nicht eigenständig vor einer Abstimmung mit Gamechanger benachrichtigen, sofern das Unterbleiben einer solchen Benachrichtigung keine unmittelbare Gefahr für einen Menschen begründet und gesetzlich nichts anderes vorgeschrieben ist.

Einige Probleme können sich befinden:

• in einer Drittanbieter-Bibliothek;
• in einem Cloud-Dienst;
• bei einem KI-Anbieter;
• in einem Analysesystem;
• in einer anderen externen Technologie.

In einem solchen Fall kann Gamechanger:

• kompensierende Maßnahmen ergreifen;
• die Komponente aktualisieren;
• die Funktion deaktivieren;
• den betreffenden Anbieter benachrichtigen;
• ihm die erforderlichen technischen Informationen übermitteln.

Bei einer solchen Übermittlung dürfen personenbezogene Daten des Sicherheitsforschers oder der Benutzer nicht ohne Notwendigkeit weitergegeben werden.

Kritische Geheimnisse sollten nicht über einen ungeschützten Kanal gesendet werden, wenn es zur Beschreibung des Problems ausreicht, den Ort ihrer Entdeckung anzugeben.

Gamechanger ist berechtigt, diese Richtlinie zu aktualisieren im Zusammenhang mit:

• Änderungen der Infrastruktur;
• dem Hinzukommen neuer Dienste;
• Änderungen der Rechtsvorschriften;
• der Weiterentwicklung der KI;
• Änderungen der Prozesse der Informationssicherheit;
• dem Start eines gesonderten Bug Bounty Program.

Die aktuelle Version wird auf den Internetressourcen von Gamechanger veröffentlicht.