Politica di divulgazione responsabile BT

Introduzione

Questo documento contiene una serie di linee guida riguardanti il processo di divulgazione responsabile che è definito nella ISO / IEC 29147 come un processo attraverso il quale i fornitori e i cercatori di vulnerabilità possono lavorare in modo cooperativo nella ricerca di soluzioni che riducano i rischi associati a una vulnerabilità. Inoltre, ciò rappresenta l'impegno di Banca Transilvania a garantire il miglioramento continuo delle pratiche di sicurezza al fine di salvaguardare le informazioni dei nostri clienti. Questa politica ha lo scopo di fornire ai ricercatori di sicurezza linee guida relative alle risorse e ai tipi di ricerca considerati nell'ambito e al processo di segnalazione delle vulnerabilità.

Dato che il ricercatore di sicurezza rispetterà la seguente serie di termini, Banca Transilvania riconoscerà che l'identificazione della vulnerabilità è stata condotta in buona fede e non perseguirà alcuna azione legale.

Istruzioni

• Qualsiasi test o ricerca deve essere eseguita rispetto ai sistemi consentiti senza influire sulla funzionalità dei nostri servizi.
• Conformemente al principio della divulgazione responsabile, il ricercatore di sicurezza dovrebbe stabilire una comunicazione con il punto di contatto designato e segnalare qualsiasi vulnerabilità scoperta.
• Se è stata scoperta una vulnerabilità, fare riferimento alla sezione Segnalazione di una vulnerabilità per trovare dettagli su come contattarci.
• Si prega di concedere al nostro team un ragionevole lasso di tempo per rispondere alla segnalazione.
• Una volta identificata una vulnerabilità, il ricercatore dovrebbe cessare qualsiasi attività che potrebbe portare a un compromesso o potrebbe compromettere l'integrità dei servizi e dei sistemi di Banca Transilvania.
• Dopo che una vulnerabilità è stata confermata, ci impegniamo a risolvere il problema entro 60 giorni.

Portata

Le seguenti attività sono coperte da questa politica:

• Tutti i servizi all'interno di AS34184 e AS34358.

Vulnerabilità nell'ambito

Le seguenti vulnerabilità rientrano nell'ambito di questo criterio:

• Configurazione errata della sicurezza del server - Utilizzo delle credenziali predefinite, vulnerabilità dell'implementazione CAPTCHA, caricamento di file non sicuro, nessuna limitazione della velocità sul modulo, DNS configurato in modo errato che porta all'acquisizione di sottodomini ad alto impatto, ecc.
• Autenticazione non funzionante e gestione delle sessioni - Bypass dell'autenticazione, Acquisizione dell'account, Bypass dell'autenticazione a secondo fattore (2FA), ecc.
• Esposizione di dati sensibili - Divulgazione di segreti per risorse accessibili pubblicamente come password hardcoded, dati sensibili su connessione non crittografata, ecc.
• Iniezione lato server - LFI, RFI, RCE, SQLi, XXE, ecc.
• Cross-Site Scripting - Archiviato, riflesso, DOM.
• Negazione del servizio.

Metodi di test fuori ambito e vulnerabilità

I seguenti metodi di test (ovvero i tipi di ricerca) e le vulnerabilità non rientrano nell'ambito di applicazione di questa politica:

• Test fisici contro le Strutture/Proprietà di Banca Transilvania.
• Phishing (di un dipendente o di un cliente/utente dei servizi di Banca Transilvania).
• Spoofing delle e-mail.
• Criteri/configurazioni delle best practice di autenticazione e-mail (record DKIM, SPF e così via).
• DDoS.
• Mancanza di intestazioni di sicurezza (Strict-Transport-Security, X-Frame-Options, X-Webkit-CSP, ecc.).
• Difetti che interessano gli utenti di browser e plugin obsoleti.
• Una prova di concetto di attacco Man-in-the-Middle (MITM).
• Self XSS.
• Afferrare il banner.
• Metodi di traccia/opzioni HTTP abilitati.
• CSRF con impatto minimo (login, logout, ecc.).
• Apri i reindirizzamenti (basati su POST o intestazione).
• Clickjacking o altri metodi di attacco simili.
• Indirizzi e-mail usa e getta consentiti durante la registrazione.
• Mancanza di offuscamento.
• Iniezione di intestazione senza un impatto dimostrabile.
• Mancanza di flag di cookie Secure e HTTPOnly (i sistemi critici potrebbero essere ancora nell'ambito).
• Contenuto statico servito su HTTP.
• Criteri password deboli.
• Nome utente ed enumerazione account.

Segnalazione di una vulnerabilità

Se hai scoperto una vulnerabilità o hai domande, ti preghiamo di contattarci al seguente indirizzo email: cybersec@btrl.ro.

Al fine di garantire la riservatezza e l'integrità, si prega di utilizzare la chiave PGP 0x6F077A29C359A429 per crittografare la comunicazione. Puoi trovare il nostro file di sicurezza.txt al seguente indirizzo:

Obblighi di riservatezza

Potrebbe includere, a titolo esemplificativo ma non esaustivo: informazioni relative ai clienti, informazioni finanziarie o di identificazione personale, informazioni relative alle risorse vulnerabili.

Il ricercatore di sicurezza accetta di non divulgare nulla di quanto sopra a terzi senza l'accordo di Banca Transilvania. Pertanto, qualsiasi potenziale segnalazione di vulnerabilità deve essere trattata come informazione riservata.