Відповідальне розкриття.

Coinomi цінує роботу дослідників безпеки, які допомагають покращувати безпеку наших продуктів і сервісів. Ми прагнемо співпрацювати зі спільнотою, щоб перевіряти, відтворювати й опрацьовувати достовірні повідомлення про вразливості. Закликаємо спільноту брати участь у нашому процесі відповідального розкриття.

Повідомлення про вразливість

Якщо ви дослідник безпеки й хочете повідомити про вразливість, надішліть лист на адресу: security@coinomi.com

Будь ласка, до кожного звіту додавайте своє ім'я, контактні дані й назву компанії (за потреби). Зашифровані звіти розглядаються першочергово, тож додайте до звіту свій відкритий PGP-ключ.

Завантажити PGP-ключ Coinomi

Правила відповідального розкриття

Ми розглядатимемо достовірні звіти й докладемо всіх зусиль, щоб швидко виправити підтверджену вразливість. Щоб заохотити відповідальні звіти, ми зобов'язуємося не вживати проти вас юридичних заходів і не просити правоохоронні органи розслідувати вашу діяльність, якщо ви дотримуєтеся таких правил:

1. Надайте опис вразливості, зокрема відомості, потрібні для її відтворення та перевірки, а також доказ концепції (POC).
2. Сумлінно намагайтеся не порушувати приватність, не знищувати дані й не порушувати та не погіршувати роботу наших сервісів.
3. Не змінюйте дані, що вам не належать, і не отримуйте до них доступ.
4. Дайте нам розумний час виправити проблему, перш ніж оприлюднювати будь-яку інформацію.
5. Ми приймаємо звіти лише щодо сервісів, які надає виключно Coinomi, а не сторонні сторони.

Ми докладемо всіх зусиль, щоб відповісти на ваше повідомлення протягом 1 до 2 робочих днів.

Повідомлення, що не повністю відповідають наведеним вище правилам, не матимуть права на винагороду чи будь-які гарантії, про які йдеться тут.

Застосунки: у сфері дії

Нас насамперед цікавлять вразливості, що дозволили б зловмисникам скомпрометувати гаманці та/або криптоактиви із застосунків Coinomi.

Вразливості в сфері дії:

1. Обхід PIN-коду чи біометрії, за винятком функцій, які надає сама операційна система
2. Обхід підтвердження користувача для підпису транзакції
3. Витоки конфіденційних даних через доступ до пам'яті, мережевий трафік, локальне сховище пристрою тощо
4. Атаки на дерево залежностей і ланцюг постачання
5. Криптографічні вразливості, пов'язані з виведенням ключів за BIP-39/32/44 та еліптичними кривими

Поза сферою дії для застосунків:

1. Незашифровані службові токени Firebase

Вебсайти: у сфері дії

Нас цікавлять критичні вразливості в нашій інфраструктурі, зокрема у фронтенді й бекенді.

Поза сферою дії для вебсайтів:

1. Наявність або відсутність записів SPF/DMARC
2. Відсутність токенів CSRF
3. Проблеми clickjacking і tabnabbing
4. Відсутні заголовки безпеки, що не призводять безпосередньо до вразливості
5. Відсутні найкращі практики (потрібні докази вразливості безпеки)
6. Звіти автоматизованих інструментів чи сканувань
7. Звіти про небезпечні шифри SSL/TLS (якщо у вас немає працюючого доказу концепції)
8. Відсутність rate limiting
9. Застаріле програмне забезпечення без помітних вразливостей
10. Биті посилання
11. Вразливості в сторонніх сервісах (наприклад, Zendesk, X/Twitter): повідомляйте про них безпосередньо їм

Сервіс обміну: у сфері дії

Для агрегатора Coinomi Exchange нас додатково цікавлять:

1. Вразливості, що можуть дозволити маніпулювати відображеними курсами чи комісіями обміну
2. Вразливості, що можуть перенаправити кошти користувачів на адреси, контрольовані зловмисником
3. Вразливості в шарі інтеграції API з партнерами з обміну
4. Витік інформації, який може розкрити деталі транзакцій користувачів понад описане в нашій Політиці конфіденційності

Поза сферою дії для сервісу обміну:

1. Вразливості в системах партнерів з обміну (повідомляйте безпосередньо партнеру з обміну)
2. Розбіжності курсів обміну через ринкові умови чи поведінку API партнера з обміну
3. Простій або недоступність партнера з обміну