Υπεύθυνη αποκάλυψη.

Το Coinomi εκτιμά το έργο των ερευνητών ασφαλείας στη βελτίωση της ασφάλειας των προϊόντων και των υπηρεσιών μας. Δεσμευόμαστε να συνεργαζόμαστε με την κοινότητα για την επαλήθευση, την αναπαραγωγή και την ανταπόκριση σε νόμιμες αναφορές ευπαθειών. Ενθαρρύνουμε την κοινότητα να συμμετέχει στη διαδικασία υπεύθυνης αποκάλυψης.

Αναφορά ευπάθειας

Αν είστε ερευνητής ασφαλείας και θέλετε να αναφέρετε μια ευπάθεια, στείλτε email στη διεύθυνση: security@coinomi.com

Συμπεριλάβετε σε κάθε αναφορά το όνομά σας, στοιχεία επικοινωνίας και το όνομα της εταιρείας σας (αν υπάρχει). Προτεραιότητα θα δοθεί σε κρυπτογραφημένες αναφορές, γι' αυτό προσθέστε το δημόσιο κλειδί PGP σας στην αναφορά.

Λήψη του κλειδιού PGP του Coinomi

Οδηγίες υπεύθυνης αποκάλυψης

Θα ερευνούμε τις νόμιμες αναφορές και θα καταβάλλουμε κάθε προσπάθεια να διορθώνουμε γρήγορα κάθε επιβεβαιωμένη ευπάθεια. Για να ενθαρρύνουμε την υπεύθυνη αναφορά, δεσμευόμαστε ότι δεν θα προβούμε σε νομικές ενέργειες εναντίον σας ούτε θα ζητήσουμε από τις αρχές να σας ερευνήσουν, εφόσον τηρείτε τις παρακάτω οδηγίες:

1. Δώστε λεπτομέρειες για την ευπάθεια, συμπεριλαμβανομένων των πληροφοριών που χρειάζονται για να αναπαραχθεί και να επαληθευτεί, καθώς και ένα Proof of Concept (POC).
2. Καταβάλετε καλόπιστη προσπάθεια να αποφύγετε παραβιάσεις απορρήτου, καταστροφή δεδομένων και διακοπή ή υποβάθμιση των υπηρεσιών μας.
3. Μην τροποποιείτε και μην έχετε πρόσβαση σε δεδομένα που δεν σας ανήκουν.
4. Δώστε μας εύλογο χρόνο να διορθώσουμε το ζήτημα πριν δημοσιοποιήσετε οποιαδήποτε πληροφορία.
5. Δεχόμαστε αναφορές μόνο για υπηρεσίες που παρέχονται αποκλειστικά από το Coinomi και όχι από τρίτους.

Θα καταβάλουμε κάθε προσπάθεια να απαντήσουμε στην αποκάλυψή σας εντός 1 έως 2 εργάσιμων ημερών.

Αποκαλύψεις που δεν συμμορφώνονται πλήρως με τις παραπάνω οδηγίες δεν θα είναι επιλέξιμες για επιβραβεύσεις ή για οποιαδήποτε από τις διαβεβαιώσεις που αναφέρονται εδώ.

Εφαρμογές: εντός πεδίου

Ενδιαφερόμαστε κυρίως για ευπάθειες που θα επέτρεπαν σε επιτιθέμενους να διακυβεύσουν πορτοφόλια ή/και κρυπτοπεριουσιακά στοιχεία από εφαρμογές του Coinomi.

Ευπάθειες εντός πεδίου:

1. Παράκαμψη του PIN ή της βιομετρικής ταυτοποίησης, εξαιρουμένης της λειτουργικότητας που παρέχεται εγγενώς από το λειτουργικό σύστημα
2. Παράκαμψη της επιβεβαίωσης του χρήστη για την υπογραφή συναλλαγής
3. Διαρροές ευαίσθητων δεδομένων μέσω πρόσβασης στη μνήμη, κίνησης δικτύου, τοπικής αποθήκευσης συσκευής κ.λπ.
4. Επιθέσεις στο δέντρο εξαρτήσεων / στην εφοδιαστική αλυσίδα
5. Ευπάθειες κρυπτογραφίας που σχετίζονται με την παραγωγή κλειδιών BIP-39/32/44 και τις ελλειπτικές καμπύλες

Εκτός πεδίου για εφαρμογές:

1. Μη κρυπτογραφημένα tokens υπηρεσίας Firebase

Ιστότοποι: εντός πεδίου

Ενδιαφερόμαστε για κρίσιμες ευπάθειες στην υποδομή μας, συμπεριλαμβανομένων του front end και του back end.

Εκτός πεδίου για ιστότοπους:

1. Παρουσία/απουσία εγγραφών SPF/DMARC
2. Έλλειψη tokens CSRF
3. Ζητήματα clickjacking και tabnabbing
4. Κεφαλίδες ασφαλείας που λείπουν και δεν οδηγούν άμεσα σε ευπάθεια
5. Βέλτιστες πρακτικές που λείπουν (απαιτούμε στοιχεία ευπάθειας ασφαλείας)
6. Αναφορές από αυτοματοποιημένα εργαλεία ή σαρώσεις
7. Αναφορές για μη ασφαλείς κρυπτογραφήσεις SSL/TLS (εκτός αν έχετε λειτουργικό proof of concept)
8. Απουσία περιορισμού ρυθμού αιτημάτων
9. Παρωχημένο λογισμικό χωρίς αξιοσημείωτη ευπάθεια
10. Σπασμένοι σύνδεσμοι
11. Ευπάθειες σε υπηρεσίες τρίτων (π.χ. Zendesk, X/Twitter): αναφέρετέ τις απευθείας σε αυτούς

Υπηρεσία ανταλλαγής: εντός πεδίου

Για την υπηρεσία συγκέντρωσης Coinomi Exchange, ενδιαφερόμαστε επιπλέον για:

1. Ευπάθειες που θα μπορούσαν να επιτρέψουν τον χειρισμό των εμφανιζόμενων ισοτιμιών ή χρεώσεων
2. Ευπάθειες που θα μπορούσαν να ανακατευθύνουν κεφάλαια χρηστών σε διευθύνσεις υπό τον έλεγχο επιτιθέμενου
3. Ευπάθειες στο επίπεδο ενσωμάτωσης API με τους Συνεργάτες Ανταλλαγής
4. Διαρροή πληροφοριών που θα μπορούσε να εκθέσει λεπτομέρειες συναλλαγών χρηστών πέρα από όσα περιγράφονται στην Πολιτική Απορρήτου μας

Εκτός πεδίου για την υπηρεσία ανταλλαγής:

1. Ευπάθειες στα συστήματα Συνεργατών Ανταλλαγής (αναφέρετέ τες απευθείας στον Συνεργάτη Ανταλλαγής)
2. Αποκλίσεις ισοτιμιών που προκαλούνται από συνθήκες αγοράς ή από τη συμπεριφορά του API Συνεργάτη Ανταλλαγής
3. Διακοπή λειτουργίας ή μη διαθεσιμότητα Συνεργάτη Ανταλλαγής