Belöningsprogram för sårbarhet

Vad händer efter din anmälan

Våra utvecklare kommer att undersöka saken och avgöra om det som du har upptäckt verkligen är en säkerhetsbrist och om vi kan reproducera den med hjälp av den information du har lämnat. Om det uppfyller kraven kommer en belöning att betalas ut efter att problemet har åtgärdats.

Vi kan inte åta oss någon specifik tidtabell för korrigering (och därmed för utbetalning av belöning) eftersom varje fall är olika. Internt ger vi dock hög prioritet åt externt rapporterade säkerhetsfrågor, och vi kommer att försöka hålla dig uppdaterad om statusen. Du kan också be om statusuppdateringar genom att kontakta din handläggare.

Vi kan ibland publicera namnen på personer som vi har belönat, och om vi publicerar några bulletiner om sårbarheter vill vi gärna ge kredd där det är på sin plats. Om du hellre vill hålla dig bakom ett alias eller vara anonym kommer vi naturligtvis att respektera det.

Även om vi kommer att försöka se problemet med dina ögon, kan vi i vissa ytterlighetsfall vara av den åsikten att det problem som du har hittat inte utgör någon risk eller att problemet inte är en säkerhets- eller integritetsbugg. I dessa fall kommer ingen belöning att betalas ut.

Ingen belöning kommer att betalas ut om problemet på något sätt blir offentligt innan det har åtgärdats. Om någon annan redan har rapporterat upptäckten tidigare kommer vi att meddela dig när problemet har åtgärdats. Om flera forskare rapporterar samma problem belönar vi endast avsändaren av den första rapporten som ger oss tillräckligt med tekniska detaljer för att vi ska kunna reproducera resultatet. Vi vet att detta skulle ge oss ett kryphål för att hävda att allt redan har hittats tidigare, men lita på oss, vi vill vara rättvisa.

Belöningar

Belöningens storlek bestäms uteslutande av ett WithSecure™-team bestående av vår tekniska personal och baseras på den uppskattade risken som sårbarheten utgör. Den nuvarande belöningen ligger mellan 100 och 15 000 euro.

Om du rapporterar flera problem som är dubbletter i olika delar av tjänsten (t.ex. samma kod som körs på olika noder eller plattformar), eller som är en del av ett större problem, kan dessa kombineras till ett och endast en belöning kan betalas ut.

I följande tabell visas flera felklasser och deras motsvarande belöning. Även om inte alla felklasser omfattas av denna lista kan du få en uppfattning om allvarlighetsgrad kontra belöning genom att granska följande exempel.

Betalningar

VIKTIGT! Skicka inte dina betalningsuppgifter till oss i förväg. Vi kommer att be om lämplig information om och när en betalning ska göras.

Betalningar görs som banköverföringar inom det gemensamma eurobetalningsområdet (SEPA) eller internationella banköverföringar (banköverföring) utanför SEPA. Vi kan inte använda checkar, kryptovalutor eller använda andra penningöverföringstjänster. Betalningsmottagaren är ansvarig för eventuella avgifter som tas ut för överföringen och för att få tillgång till pengarna när de väl har överförts. Betalningar görs som standard i euro (EUR) och eventuella valutakonverteringar görs till den aktuella bankkursen.

Vi är skyldiga att rapportera alla individuella forskares belöningar till den finska skattemyndigheten oavsett var du bor. För att kunna göra detta och för att kunna göra en utbetalning begär vi senare ditt fullständiga namn, födelsedatum och en aktuell fysisk postadress samt uppgifter om din banköverföring (banköverföring). Om du har ett företag kan vi begära att du fakturerar oss i stället.

Mottagaren ansvarar för eventuella skatter. Om du är beskattad i Finland är vi skyldiga att samla in källskatten och behöver ditt personnummer och eventuellt ditt beskattningsintyg för innevarande år.

Dessa identifieringskrav åläggs oss av myndigheterna och vi kan inte göra några undantag från dessa. Dessutom görs inga betalningar till länder eller jurisdiktioner som är belagda med embargo eller till personer eller enheter som finns med på en sanktionslista.

På grund av dessa identifieringskrav kommer vi endast att hantera den ursprungliga rapportören direkt. Vi kommer endast att använda e-postadressen i den ursprungliga rapporten, så se till att du har fortsatt tillgång till det e-postkonto som du använde för att skicka den ursprungliga rapporten.

Ytterligare rättsliga uttalanden

Våra jurister vill att vi påpekar följande små bokstäver:

Du får göra reverse-engineering och dekompilera WithSecure™-klienter strikt och enbart i syfte att utföra säkerhetsforskning för detta program för belöning av sårbarheter. Detta tillstånd gäller endast för WithSecure™-klienter som uttryckligen namnges och förtecknas i detta program för belöning av sårbarheter, med undantag för alla licensierade tredjepartskomponenter i dessa. Du får inte avslöja, visa eller publicera någon kod eller delar av den till tredje part i någon form som du har erhållit till följd av detta tillstånd.

En beskrivning av det personregister som används för utbetalning av belöningar finns här.

WithSecure™ förbehåller sig rätten att avbryta detta belöningsprogram och ändra dess villkor när som helst utan föregående meddelande. Denna text ändrades senast den 2022-01-05. Om det nuvarande belöningsprogrammet för sårbarhetsbelöningar inte förlängs specifikt här, kommer det att upphöra den 31 december 2022. Alla beslut om belöningsutbetalningar är slutgiltiga. Reglerna för detta belöningsprogram eller någon kommunikation i samband med detta ger eller innebär inga skyldigheter gentemot WithSecure™ av något slag.