Na tej stronie opisujemy, jak zgłosić podatność albo inny problem bezpieczeństwa w produktach i usługach JLW Automotive Solutions.
Osoba odpowiedzialna
Łukasz Waszak, właściciel i osoba odpowiedzialna za bezpieczeństwo, JLW Automotive Solutions Łukasz Waszak.
Adres zgłoszeń
Zgłoszenia przyjmujemy po polsku i po angielsku. Plik security.txt (RFC 9116) zawiera te same dane kontaktowe.
Zakres
- JLW Bridge: program dla warsztatów i jego moduły,
- jlwauto.pl: strona firmowa i blog,
- app.jlwauto.pl: aplikacja dla klientów,
- api2.jlwauto.pl: serwer usług i aktualizacji.
Poza zakresem są usługi dostawców zewnętrznych (hosting, płatności, poczta). Problem w takiej usłudze zgłoś bezpośrednio jej dostawcy. Jeśli dotyczy też naszej konfiguracji, napisz do nas.
Co podać w zgłoszeniu
- adres, komponent albo wersję programu, których dotyczy problem,
- opis podatności i jej możliwy skutek,
- kroki do odtworzenia, a jeśli to możliwe, dowód koncepcji,
- datę i godzinę testów oraz adres IP, z którego testowano,
- dane kontaktowe, jeśli chcesz dostać odpowiedź.
Prosimy nie dołączać danych osobowych ani danych klientów, do których uzyskano dostęp. Wystarczy opis, jak do nich dotrzeć.
Czas odpowiedzi
- potwierdzenie otrzymania: do 5 dni roboczych,
- wstępna ocena i plan dalszych kroków: do 14 dni roboczych,
- informacja o usunięciu problemu: po wdrożeniu poprawki.
Prosimy o 90 dni na usunięcie problemu przed publicznym ujawnieniem szczegółów. Termin można uzgodnić indywidualnie.
Zasady testów
- testuj tylko na własnym koncie i własnych danych,
- nie odczytuj, nie zmieniaj i nie usuwaj danych innych osób ponad minimum potrzebne do wykazania problemu,
- nie przeprowadzaj ataków odmowy usługi, masowego skanowania ani prób zgadywania haseł,
- nie stosuj socjotechniki wobec nas ani naszych klientów,
- nie testuj JLW Bridge na pojazdach, których nie jesteś właścicielem albo na których nie masz zgody właściciela.
Osób, które działają w dobrej wierze i zgodnie z tymi zasadami, nie będziemy ścigać za zgłoszone badania.
Nagrody
Nie prowadzimy programu bug bounty z cennikiem i nie wypłacamy nagród pieniężnych. Za zgłoszenie, które pomogło usunąć realny problem, możemy przyznać nagrodę uznaniową w tokenach albo w licencji JLWAUTO. O jej przyznaniu i wysokości decydujemy indywidualnie.
Nagrody nie przyznajemy za zgłoszenia powtórzone, wyniki automatycznych skanerów bez wykazanego wpływu, problemy w usługach dostawców zewnętrznych ani za zgłoszenia, przy których złamano zasady testów.
Za zgodą zgłaszającego wymieniamy go z nazwiska po usunięciu problemu.