Politica di divulgazione delle vulnerabilità

Introduzione

In GGWP, Inc., la nostra missione è promuovere community di gioco sicure e inclusive. Trattiamo con la massima serietà la sicurezza dei nostri algoritmi di moderazione dei contenuti, i dati dei nostri clienti e la privacy dei giocatori.

Riconosciamo che la community della sicurezza svolge un ruolo fondamentale nella creazione di un internet più sicuro. Apprezziamo il contributo di ricercatori di sicurezza, hacker etici e membri della community di gioco che ci aiutano a individuare e risolvere i problemi di sicurezza. Se ritieni di aver individuato una vulnerabilità di sicurezza nella nostra piattaforma, nelle nostre API o nei nostri SDK, ti invitiamo a comunicarcelo il prima possibile.

Safe Harbor (tutela legale)

Consideriamo la ricerca sulla sicurezza e la divulgazione delle vulnerabilità attività «autorizzate» ai sensi del Computer Fraud and Abuse Act (CFAA), del DMCA e delle altre leggi applicabili contro gli attacchi informatici, a condizione che tu rispetti questa policy.

Ci impegniamo a non avviare né sostenere azioni legali nei tuoi confronti per violazioni accidentali e in buona fede di questa policy.

Tuttavia, questa tutela Safe Harbor non si estende a:

• Richieste di riscatto o estorsione: richiedere un pagamento in cambio della mancata divulgazione o della correzione della vulnerabilità.
• Frode: utilizzare una vulnerabilità per ingannare il nostro sistema, i nostri dipendenti o i nostri clienti a scopo di lucro.
• Esfiltrazione di dati: accedere intenzionalmente a una quantità di dati superiore a quella strettamente necessaria per dimostrare una prova di fattibilità, scaricarla o trasferirla.
• Azioni dannose: qualsiasi attività volta a compromettere l'integrità o la disponibilità dei nostri servizi (ad esempio, distruggere dati o mantenere malware persistente).

Ambito

Risorse incluse nell'ambito

Ti chiediamo di concentrare i tuoi test sulle risorse di proprietà e gestite da GGWP, Inc.:

• Applicazioni web: dashboard.ggwp.com
• Endpoint API: api.ggwp.com
• SDK client: SDK ufficiali di GGWP, Inc. per Unity e Unreal

Risorse soggette a restrizioni (autorizzazione necessaria)

• Modelli di moderazione e IA: i test di inversione dei modelli, estrazione dei dati di addestramento o attacchi avversari contro i nostri modelli di machine learning sono severamente vietati senza previo consenso scritto.

Risorse escluse dall'ambito

• Giochi dei nostri clienti: è severamente vietato eseguire test, attacchi informatici o interferire con i videogiochi, i server o l'infrastruttura degli studi di sviluppo che utilizzano i nostri servizi. I test devono essere eseguiti sulle nostre interfacce API, non sul client di gioco stesso.
• Servizi di terze parti ospitati da fornitori diversi da GGWP, Inc. (ad esempio, HubSpot o l'infrastruttura AWS sottostante al servizio senza compromettere il livello applicativo).

Linee guida e regole di ingaggio

Per beneficiare delle tutele Safe Harbor, devi rispettare quanto segue:

• Non causare danni: non compromettere le prestazioni dei nostri servizi (ad esempio, tramite DoS/DDoS) né interrompere le funzionalità di moderazione per i nostri clienti.
• La privacy prima di tutto: non accedere, scaricare o modificare dati presenti in un account che non ti appartiene. Se ti imbatti in informazioni di identificazione personale (PII), registri delle chat o registrazioni vocali appartenenti ad altri, interrompi immediatamente le attività e segnala la vulnerabilità.
• Divieto di pivoting: non utilizzare una vulnerabilità scoperta per accedere a sistemi interni o ad ambienti di altri clienti.
• Riservatezza: non divulgare la vulnerabilità al pubblico o a terze parti prima che abbiamo avuto un tempo ragionevole per risolvere il problema (dettagli nella sezione «Policy di divulgazione» di seguito).

Esclusioni (vulnerabilità non ammissibili)

I seguenti problemi sono generalmente considerati fuori ambito, a meno che non dimostrino un impatto significativo sulla sicurezza:

• Attacchi di ingegneria sociale (phishing, vishing) ai danni dei nostri dipendenti o clienti.
• Attacchi alla sicurezza fisica dei nostri uffici.
• Bug UI/UX o errori ortografici.
• Assenza di limitazione della frequenza delle richieste (a meno che non comporti una grave minaccia alla disponibilità del servizio).
• Intestazioni di sicurezza HTTP mancanti (a meno che non venga dimostrato un impatto specifico).
• Input avversari all'IA che producono semplicemente classificazioni «errate» (si tratta di un problema di qualità, non di una vulnerabilità di sicurezza, a meno che non porti all'esecuzione di codice o alla fuga di dati).

Come segnalare una vulnerabilità

La segnalazione dovrebbe includere:

• Descrizione: la posizione e la natura della vulnerabilità.
• Passaggi per riprodurla: una guida chiara e dettagliata o uno script di prova di fattibilità (PoC).
• Impatto: come potrebbe essere sfruttata la vulnerabilità e quali dati o sistemi sono a rischio.

Il nostro impegno nei tuoi confronti

Quando ci segnali una vulnerabilità, ci impegniamo a:

• Confermare la ricezione: confermeremo la ricezione della tua segnalazione entro 3 giorni lavorativi.
• Valutare: effettueremo una valutazione preliminare della segnalazione e confermeremo la validità della vulnerabilità entro 10 giorni lavorativi.
• Comunicare: ti terremo aggiornato sui progressi.

Tempistiche obiettivo per la risoluzione

Ci adoperiamo per risolvere i problemi in base alla loro gravità. Definiamo i nostri obiettivi di risoluzione come segue, compatibilmente con sforzi commercialmente ragionevoli:

Policy di divulgazione

Adottiamo la divulgazione coordinata delle vulnerabilità. Puoi pubblicare i risultati della tua ricerca solo dopo che:

• Ti abbiamo comunicato che la vulnerabilità è stata risolta; OPPURE
• Sono trascorsi 90 giorni dalla tua segnalazione iniziale e non abbiamo richiesto una proroga a causa della complessità della correzione.

Eccezioni alla divulgazione standard

• Divulgazione anticipata: se una vulnerabilità viene attivamente sfruttata in contesti reali (una «0-day»), potremmo concordare tempi di divulgazione più brevi per avvisare la community.
• Divulgazione posticipata: se una vulnerabilità interessa un ecosistema complesso (ad esempio, una dipendenza di terze parti che richiede una correzione a monte da parte di un fornitore), potremmo chiedere una proroga oltre i 90 giorni per garantire che le correzioni siano applicate all'intero ecosistema prima della divulgazione pubblica.

Premi e riconoscimenti

Apprezziamo profondamente i ricercatori di sicurezza che ci aiutano a mantenere sicuro l'ecosistema del gaming. Tuttavia, è importante chiarire la natura del nostro programma per definire aspettative corrette.

Nessuna ricompensa in denaro

Attualmente questo è un programma di divulgazione delle vulnerabilità (VDP), non un programma Bug Bounty a pagamento. Al momento non offriamo compensi finanziari né ricompense in denaro per le segnalazioni di vulnerabilità. Ti preghiamo di non inviare segnalazioni aspettandoti un pagamento e di non richiedere un compenso come condizione per comunicare i dettagli di una vulnerabilità.

La nostra gratitudine

Anche se non possiamo offrire ricompense in denaro, apprezziamo il tuo contributo e siamo lieti di offrire i seguenti riconoscimenti per segnalazioni valide e ad alto impatto:

• Hall of Fame: con il tuo consenso, inseriremo il tuo nome e il link al tuo profilo nella nostra Hall of Fame della sicurezza.