Kraken uskoo vahvasti, että tietoturva-ammattilaiset ja kehittäjät ovat arvokkaita ja auttavat pitämään tuotteemme ja käyttäjämme turvassa. Kraken on luonut puitteet koordinoidulle haavoittuvuuksien julkaisemiselle ja kannustaa siihen Bug Bounty -ohjelmansa kautta. Bug Bounty -ohjelma tukee Krakenin päämäärää ja auttaa suojaamaan asiakkaita kryptovaluuttamarkkinoilla.
Etsimällä bugeja Krakenin järjestelmistä sitoudut pitämään kaiken haavoittuvuuksia ja tutkimustasi koskevan datan ja tiedot sekä Krakenin kanssa käymäsi yhteydenpidon ehdottoman luottamuksellisena, kunnes Kraken on korjannut ongelman ja myöntänyt luvan julkistamiseen.
Jos näiden toimintaohjeiden vaatimuksia noudatetaan, Kraken ei ryhdy oikeudellisiin toimenpiteisiin tietoturvatutkimuksista, joissa on noudatettu kaikkia julkaistuja Krakenin Bug Bounty -toimintaohjeita. Tämä käsittää myös vilpittömässä mielessä tahattomasti tehdyt rikkomukset.
Vältä tahallisia toimintaohjeiden rikkomuksia luomalla testaustilejä aina, kun se on mahdollista. Jos kohtaat henkilön yksilöiviä tietoja tai muita arkaluonteisia tietoja tileistä, joiden käyttöön sinulla ei ole nimenomaista kirjallista suostumusta löytöjesi validointia varten, lopeta kyseisten tietojen käyttö välittömästi ja ilmoita ongelmasta Krakenille. Sisällytä ilmoitukseen kuvaus henkilön yksilöivistä tiedoista tai muista arkaluonteisista tiedoista, mutta älä sisällytä itse tietoja.
Toimi tietosuojamääräysten ja tietoturvakäytäntöjemme mukaisesti:
- Älä tallenna tai siirrä muiden asiakkaiden yksilöiviä tietoja. Jos satut ottamaan talteen mitä tahansa asiakkaita yksilöiviä tietoja, ilmoita asiasta välittömästi Krakenille ja tuhoa sitten kaikki kopiot henkilön yksilöivistä tiedoista, jotka eivät ole sinun.
- Minimoi tietojen kerääminen ja pääsy tietoihin tutkimuksesi aikana. Kerää ja säilytä vain tietoja, jotka ovat ehdottoman välttämättömiä haavoittuvuuden osoittamiseen ja siitä ilmoittamiseen.
- Poista välittömästi ja tietoturvallisesti kaikki keräämäsi tiedot, kun olet toimittanut raportin ja Kraken on vahvistanut vastaanottaneensa sen.
- Älä paljasta mitään haavoittuvuuksia tai niihin liittyviä tietoja kolmansille osapuolille ilman Krakenin nimenomaista kirjallista suostumusta. Tämä käsittää muun muassa sosiaalisen median, muut yritykset ja tiedotusvälineet.
- Jos ilmoitat tietoturvaloukkauksesta tai datarepositorion sijainnista tietoturvahaavoittuvuuden sijaan, ilmoita datan sijainti, lopeta kyseisen datan käyttö äläkä paljasta datan sijaintia muille.
Bug Bounty -ilmoitus ei saa koskaan sisältää uhkauksia eikä minkäänlaisia kiristysyrityksiä. Maksamme palkkioita hyväksyttävistä löydöksistä, mutta lunnasvaatimukset eivät oikeuta maksuun. Jos esimerkiksi tietoja haavoittuvuudesta ei paljasteta tai haavoittuvuuden korjaamista häiritään muilla tavoin, kunnes muihin vaatimuksiin suostutaan, se katsotaan lunnasvaatimukseksi. Laki voi velvoittaa meitä ilmoittamaan tai voimme ilmoittaa vapaaehtoisesti viranomaisille Bug Bounty -ilmoituksista, joihin sisältyy lunnasvaatimuksia.
Uskomme, että näiden toimintaohjeiden mukaisesti toteutetut toimet ovat ”luvallista” toimintaa Yhdysvaltojen Computer Fraud and Abuse Act (CFAA) -lain, Digital Millennium Copyright Act (DMCA) -lain sekä sovellettavien hakkeroinnin vastaisten lakien, kuten Kalifornian rikoslain 503(c), mukaisesti. Emme nosta kannetta tutkijoita vastaan sovellusten suojaamiseksi käyttämiemme teknisten menetelmien kiertämisestä Bug Bounty -ohjelman puitteissa. Näiden toimintaohjeiden noudattaminen ei kuitenkaan tarkoita, että Kraken tai mikään muu yksittäinen organisaatio tai hallitus voi myöntää koskemattomuutta maailmanlaajuisilta laeilta. Yksittäisen tietoturvatutkijan vastuulla on ymmärtää kaikki sovellettavat paikalliset ja kansainväliset hakkeroinnin torjuntaa, tietoturvaa ja tietosuojaa ja vientivalvontaa koskevat lait ja noudattaa niitä. Jos jokin kolmas osapuoli nostaa kanteen sinua vastaan ja olet noudattanut näiden toimintaohjeiden ehtoja, Kraken ilmoittaa asiaankuuluville lainvalvontaelimille tai siviilikanteen esittäjille, että tutkimustoimesi olivat parhaan käsityksemme mukaan tämän ohjelman ehtojen mukaisia.
Jokaisen tutkijan on ilmoitettava meille ennen ryhtymistä toimiin, jotka voivat olla näiden toimintaohjeiden vastaisia tai joihin ei näissä toimintaohjeissa ole puututtu. Otamme mielellämme vastaan ehdotuksia toimintaohjeiden selkeyttämisestä, jotta tutkijat voivat suorittaa tutkimuksiaan ja ilmoittaa niistä luottavaisin mielin.