Zafiyet bildirimi politikası

Taahhüt & Kapsam

Siber güvenlik araştırmaları, ekosistemi dirençli tutmanın en temel yoludur. İşlettiğim altyapıda veya geliştirdiğim açık kaynaklı yazılımlarda bir güvenlik açığı tespit ederseniz, bunu incelemek, hızla yamalamak ve sizi uygun şekilde onurlandırmak isterim.

Bu politika, doğrudan yönetimim altındaki sistemleri kapsar:

• jankesec.com web altyapısı ve DNS/yönlendirme kayıtları
• jankesec GitHub organizasyonu altında yayımlanan açık kaynak kod depoları ve araçlar

Üçüncü taraf bağımlılıklar, upstream paket ekosistemleri veya harici barındırma sağlayıcıları; güvenlik açığı doğrudan benim entegrasyon veya yapılandırma mantığımdan kaynaklanmıyorsa, doğrudan ilgili geliştirici ekiplerine bildirilmelidir.

Bulgu Bildirimi

Tüm güvenlik raporları, /.well-known/security.txt dosyasında belirtilen resmi adres olan [email protected] adresine iletilmelidir.

Raporunuz çalışan bir exploit payload'ı, PoC kodu veya hassas yapılandırma detayları içeriyorsa, lütfen iletiyi açık PGP anahtarım ile şifreleyin.

İnceleme sürecini hızlandırmak adına raporda şu detayların yer alması önemlidir:

• Tam hedef: Etkilenen host, endpoint, kod deposu, commit SHA değeri veya sürüm numarası
• Adım adım, deterministik yeniden üretim adımları veya yalın bir PoC betiği
• Teknik bir anormallikten öte, saldırganın pratikte ne elde ettiğini gösteren güvenlik etkisi
• Gereken ön koşullar (yetki seviyesi, zamanlama kısıtlamaları veya ağ konfigürasyonu)

Müdahale & Çözüm Takvimi

Gelen bildirimleri, başka ekiplere zafiyet bildirdiğimde beklediğim ciddiyet ve teknik saygıyla ele alırım:

• İlk alındı bildirimi: Bildirimin ulaşmasından itibaren 48 saat içinde.
• Doğrulama & önceliklendirme: 5 iş günü içinde, sorunun yeniden üretilebilirliği ve etki derecesi onaylanır.
• Yamalama: Testlerin tamamlanmasının ardından mümkün olan en kısa sürede düzeltme yayımlanır.
• Koordineli duyuru: Standart 90 günlük bildirim takvimi uygulanır. Düzeltmeler yayımlandıktan sonra write-up veya güvenlik bülteni karşılıklı mutabakatla paylaşılır.
• Atıf & Teşekkür: Anonim kalmayı tercih etmediğiniz sürece bültenlerde, sürüm notlarında ve changelog kayıtlarında adınıza açıkça yer verilir.

Güvenli Liman (Safe Harbor)

Bu sınırlar içinde iyi niyetle yürütülen güvenlik araştırmaları yetkilendirilmiş sayılır. Şu kurallara bağlı kalan araştırmacılara karşı hukuki dava açılmayacak ve adli mercilere şikayette bulunulmayacaktır:

• Hizmet erişilebilirliğini bozacak veya performans düşüşü yaratacak eylemlerden kaçının (DoS, DDoS veya yıkıcı fuzzer trafiği uygulamayın).
• Bulguyu kanıtlamak için kesinlikle gerekli olan asgari sınırın ötesinde hiçbir kişisel veya operasyonel veriye erişmeyin, indirmeyin veya değiştirmeyin.
• Elde edilen bir başlangıç erişim noktasını kullanarak üçüncü taraf altyapılara veya harici sistemlere sıçrama (pivot) yapmayın.
• Ayrıntıları kamuya açık şekilde yayımlamadan önce yama geliştirilmesi ve dağıtılması için makul bir süre tanıyın.

Kapsam Dışı Konular

Gereksiz e-posta trafiğini ve zaman kaybını önlemek adına şu bulgular açıkça kapsam dışıdır:

• Statik içerik üzerinde kanıtlanmış bir saldırı vektörü bulunmayan eksik HTTP başlıkları veya TLS cipher yapılandırmaları
• Otomatik zafiyet tarayıcılarından (Nessus, Nikto, Burp Suite otomatik taraması) elde edilmiş doğrulanmamış ham çıktılar
• Statik barındırma ve CDN katmanlarına yönelik hacimsel trafik, hız sınırlaması (rate limit) yoklamaları veya kaynak tüketme denemeleri
• Her türlü sosyal mühendislik, oltalama (phishing) veya fiziksel saldırı girişimleri
• Kullanıcının istemci cihazının önceden tamamen root/jailbreak edilmiş olmasını gerektiren senaryolar