Ответственное раскрытие
Нашли уязвимость? Отправьте закрытый отчёт с шагами воспроизведения и описанием последствий. Не прикладывайте учётные данные и чужие данные.
Контакты
- Сообщения об уязвимостях
- @veilnebula_bot
- Удержание платежей и сроки поддержки
- Политика проверки и поддержки
- Политика в машиночитаемом формате
/.well-known/security.txt- Конфиденциальные сообщения
- Публичный ключ PGP не опубликован. Прежде чем делиться конфиденциальными подробностями, спросите, как их передать.
Рамки
- Входит в рамки
veilnebu.laapp.veilnebu.laapi.veilnebu.lawallet.veilnebu.la- Бот Telegram @veilnebula_bot
- Доставка вебхуков и обработка подписей
- Деривация кошельков, подпись выплат и цепочка аудита
- Не входит в рамки
- Проблемы сторонних поставщиков: сообщайте о них поставщику.
- Социальная инженерия
- Объёмные атаки типа «отказ в обслуживании» и нагрузочное тестирование
Правила тестирования
- Тестируйте только на своём аккаунте мерчанта.
- Остановитесь после первого доказательства. Не выгружайте данные.
- Дайте нам 90 дней с момента первого сообщения до публичного раскрытия.
- Не запускайте автоматические сканеры с устойчивой нагрузкой выше пяти запросов в секунду.
Вознаграждения
На наше усмотрение; условия объявим после первого внешнего аудита. Мы указываем авторов всех подтверждённых отчётов.
Как мы собираем
- Подпись образов
- Наш релизный процесс подписывает дайджесты контейнерных образов с помощью Cosign.
- Записи о сборке
- При сборке образов создаются SBOM и данные о происхождении (provenance).
- Конфигурация контейнеров
- Эталонная конфигурация Kubernetes запускает контейнеры API без прав root и с корневой файловой системой только для чтения.