An toàn thông tin & Báo cáo lỗ hổng

1.1Chúng tôi sẽ làm gì

• Xác nhận đã nhận báo cáo của bạn và cho biết đang xử lý.
• Đánh giá mức độ nghiêm trọng và trao đổi lại với bạn về kết luận.
• Thông báo cho bạn khi lỗ hổng đã được khắc phục.
• Ghi nhận đóng góp của bạn, nếu bạn muốn được nêu tên.

1.2Chúng tôi mong bạn làm gì

• Báo cho CLB trước, và cho CLB thời gian hợp lý để khắc phục trước khi công bố ở bất kỳ đâu.
• Chỉ dùng đúng mức truy cập cần thiết để chứng minh vấn đề, rồi dừng lại.
• Không xem, sao chép, sửa hay xoá dữ liệu của người khác.
• Giữ kín nội dung lỗ hổng cho tới khi CLB xác nhận đã vá.

2.1Một báo cáo tốt gồm những gì

• Mô tả ngắn: một câu nói rõ vấn đề là gì.
• Đường dẫn và tài khoản: trang nào, bạn đang đăng nhập với vai trò gì.
• Các bước tái hiện: đánh số theo thứ tự, đủ để người khác làm lại được.
• Kết quả quan sát được so với kết quả đáng lẽ phải có.
• Ảnh chụp màn hình, đã che phần dữ liệu cá nhân của người khác.
• Tác động bạn cho là có: ai bị ảnh hưởng và ở mức nào.

2.2Đừng gửi ở đâu

Không đăng lỗ hổng lên nhóm chat chung của CLB, không đăng lên mạng xã hội, không mở issue công khai. Một lỗ hổng chưa vá được nói ở nơi đông người là một lỗ hổng vừa được phát cho tất cả mọi người - và việc đăng tải đó cũng vi phạm §5.6 Nội quy về phát ngôn và mạng xã hội.

2.3Nếu bạn đã lỡ nhìn thấy dữ liệu người khác

Dừng thao tác ngay, không tải về, không chụp lại nhiều hơn mức cần để chứng minh, và nói rõ trong báo cáo rằng bạn đã thấy gì. Trung thực ở bước này là điều kiện để §5 áp dụng cho bạn.

3.1Trong phạm vi

• FRC Internal Portal - bao gồm cổng ứng tuyển công khai và toàn bộ khu vực nội bộ.
• Lỗi phân quyền: đọc hoặc sửa được dữ liệu ngoài phạm vi vai trò của bạn.
• Lỗi xác thực và quản lý phiên đăng nhập.
• Chèn mã (SQL, XSS, chèn lệnh), lỗi xử lý tệp tải lên.
• Rò rỉ dữ liệu cá nhân của thành viên hoặc ứng viên.

3.2Ngoài phạm vi

• Hệ thống của Trường Đại học FPT và các dịch vụ của Nhà trường - hãy báo cho bộ phận CNTT của Trường.
• Dịch vụ của bên thứ ba (Google, nhà cung cấp hạ tầng, dịch vụ gửi thư) - hãy báo trực tiếp cho họ.
• Tài khoản mạng xã hội của CLB.
• Báo cáo chỉ là kết quả quét tự động, không kèm phân tích tác động thực tế.
• Vấn đề đòi hỏi quyền quản trị máy tính của nạn nhân hoặc kỹ thuật lừa đảo con người.

4.1Nghiêm cấm

• Tấn công từ chối dịch vụ (DoS/DDoS) hoặc bất kỳ hình thức dò quét gây tải nặng nào lên hệ thống.
• Truy cập tài khoản hoặc dữ liệu của người khác - kể cả khi lỗ hổng cho phép, hãy dừng ngay khi đã đủ chứng minh.
• Dò mật khẩu, thử lại danh sách mật khẩu rò rỉ, hoặc bất kỳ hình thức đăng nhập bằng thông tin không phải của bạn.
• Sửa, xoá hoặc phá hủy dữ liệu; tạo dữ liệu rác trên môi trường đang chạy thật.
• Kỹ thuật lừa đảo con người - giả mạo danh tính, gửi email lừa thành viên khác, tấn công vật lý vào phòng Lab.
• Tống tiền - đòi tiền hoặc lợi ích để đổi lấy việc không công bố.

4.2Hậu quả khi vượt quá phạm vi

Vượt ra ngoài các quy tắc trên không còn là nghiên cứu thiện chí. Trường hợp đó được xử lý theo §6.2 Nội quy về vi phạm nghiêm trọng, và nếu có dấu hiệu vi phạm pháp luật, Ban Chủ nhiệm sẽ báo cáo lên Nhà trường theo §9.

5.1Nội dung cam kết

Ban Chủ nhiệm cam kết không áp dụng hình thức kỷ luật nào, và không coi là vi phạm §4 hay §6 Nội quy, đối với hoạt động nghiên cứu bảo mật thoả mãn đồng thời các điều kiện tại §5.2.

5.2Điều kiện áp dụng

• Bạn tuân thủ quy tắc kiểm thử tại §4 và không vượt quá phạm vi tại §3.
• Bạn dừng lại ngay khi đã đủ chứng minh vấn đề, không đi sâu thêm.
• Bạn báo cáo cho CLB trong thời gian sớm nhất có thể.
• Bạn không lan truyền lỗ hổng ra ngoài trước khi CLB xác nhận đã vá.
• Bạn không gây thiệt hại cho dữ liệu, hệ thống hoặc người khác.

5.3Trường hợp vô tình phát hiện

Nếu bạn không hề chủ động tìm lỗi mà chỉ tình cờ gặp - ví dụ bấm nhầm một đường dẫn và thấy dữ liệu của người khác - cam kết này vẫn áp dụng, miễn là bạn dừng lại và báo cáo thay vì tiếp tục xem.

6.1Xác nhận đã nhận

Trong vòng 24 giờ kể từ khi báo cáo được gửi tới kênh đúng.

6.2Kết luận đánh giá

Trong vòng 5 ngày làm việc: xác nhận có phải lỗ hổng hay không, và mức độ nghiêm trọng.

Mục tiêu khắc phục theo mức độ

7.1Bảng vinh danh Contributor

Người báo cáo một lỗ hổng đã được xác nhận và khắc phục sẽ được ghi tên vào bảng vinh danh của CLB, kèm mức độ nghiêm trọng và thời điểm - trừ khi bạn muốn ẩn danh. Bạn được quyền chọn tên hiển thị.

7.2Ghi nhận cho thành viên FRC

Với thành viên đang sinh hoạt, một báo cáo có giá trị được tính là đóng góp chuyên môn trong kỳ đánh giá theo §8.1 Nội quy, ở tiêu chí hiệu quả đóng góp.

7.3Xác nhận bằng văn bản

Nếu bạn cần dẫn chứng cho hồ sơ cá nhân hoặc CV, Ban Chủ nhiệm có thể cấp thư xác nhận đóng góp. Việc mô tả lỗ hổng ra bên ngoài vẫn tuân theo §4.3 Nội quy: ghi rõ bối cảnh FRC và được Chủ nhiệm đồng ý bằng văn bản trước khi công bố.