A Kraken erősen hisz abban, hogy a biztonsági szakérték és fejlesztők értékes segítséget jelenthetnek a termékeink és felhasználóink biztonságának megvédésében. A Kraken lehetőséget hozott létre a koordinált sebezhetőségközlésre (CVD, coordinated vulnerability disclosure), és ösztönzi azt a Bug Bounty programon keresztül. A Bug Bounty program úgy támogatja a Kraken küldetését, hogy elősegíti az ügyfelek védelmét a digitális valutapiacon.
Azzal, hogy hibákat keresel a Kraken rendszereiben, beleegyezel abba, hogy minden adatot, a sebezhetőségekről szóló információkat, a kutatásodat és a Krakennel végzett kommunikációdat szigorúan titkosan kezeled, amíg a Kraken megoldja a problémát, és engedélyt ad neked a közzétételre.
Amennyiben betartod ennek a Szabályzatnak a követelményeit, a Kraken beleegyezik, hogy nem kezdeményez jogi keresetet az olyan biztonsági kutatásokkal kapcsolatban, amelyek követik a Kraken Bug Bounty szabályzatait, beleértve a jóhiszeműséget és a véletlen szabálysértéseket.
Amennyiben lehetséges, kerüld a szabályzatok tesztfiókokkal való létrehozásának megsértését. Amennyiben személyazonosításra alkalmas adatokra („PII”) bukkansz, vagy egyéb bizalmas adatokat találsz olyan fiókokról, amelyek esetében nem rendelkezel a fióktulajdonos írásbeli engedélyével, hogy a fiókot az eredményeid igazolására használd, szüntesd meg azonnal az ezen adatokhoz való hozzáférést, és jelentsd a problémát a Krakennek. Csak a személyazonosításra alkalmas vagy egyéb bizalmas adatok leírását továbbítsd, magukat az adatokat ne.
Az adatvédelmi irányelveknek és az adatvédelmi szabályzatainknak megfelelően:
- Ne továbbítsd vagy tárold más ügyfelek személyazonosításra alkalmas adatait. Ha rögzíted egy ügyfél személyazonosításra alkalmas adatait, azonnal jelentsd ezt a Krakennek, majd a nem hozzád tartozó személyazonosításra alkalmas adatok összes példányát semmisítsd meg.
- Minimalizáld az adatgyűjtést és az adatokhoz való hozzáférést a kutatás során. Csak olyan adatokat gyűjts és tárolj, amelyek elengedhetetlenek a sebezhetőség bemutatásához és jelentéséhez.
- A jelentés beküldése után, amint a Kraken visszaigazolta ezek fogadását, azonnal és biztonságosan töröld az összes begyűjtött adatot.
- Ne közöld a sebezhetőségeket vagy az azokhoz kapcsolódó információkat harmadik felekkel a Kraken kifejezett írásbeli beleegyezése nélkül. Ez többek között magában foglalja a közösségi médiát, egyéb feleket vagy a sajtót is.
- Ha nem biztonsági sebezhetőséget jelentesz, hanem egy adatvédelmi incidenst vagy egy adattár helyét, add meg az adatok helyét, és ne férj hozzájuk tovább, és ne oszd meg másokkal az adatok helyét.
A Bug Bounty-beküldések soha nem tartalmazhatnak fenyegetéseket vagy zsarolási kísérleteket. Nyitottak vagyunk arra, hogy díjat fizessünk a törvényesen talált problémákért, a zsarolási követelések azonban nem jogosultak a kifizetésre. Például: zsarolási követelésnek tekinthető, ha nem adod meg a sebezhetőségre vonatkozó információkat, vagy egyéb módon hátráltatod a képességünket a sebezhetőség megoldására, amíg nem teljesítjük más követeléseidet. Előfordulhat, hogy a zsarolási követeléseket tartalmazó Bug Bounty-beküldéseket jelentenünk kell a hatóságoknak, vagy önként is határozhatunk erről.
Véleményünk szerint a jelen szabályzatnak megfelelő tevékenységek „engedélyezett” viselkedésnek tekinthetők a Computer Fraud and Abuse Act (CFAA), a Digital Millennium Copyright Act (DMCA), valamint a vonatkozó hackelésellenes törvények, úgy mint a kaliforniai btk. 503(c) pontja szerint. A Bug Bounty program keretében nem nyújtunk be keresetet a kutatók ellen azon technológiai intézkedések megkerüléséért, amelyeket az alkalmazások védelme érdekében vezettünk be. A szabályzat betartása azonban nem jelenti azt, hogy a Kraken vagy egy különálló szervezet vagy kormányzat mentességet biztosít a globális törvények alól. Az egyes biztonsági kutatók felelőssége, hogy megértsék a hackelésellenes, adatokkal és adatvédelemmel, valamint az exportszabályozásokkal kapcsolatos helyi és nemzetközi törvényeket, valamint hogy megfeleljenek ezeknek. Ha egy harmadik fél keresetet indít ellened, és te követted az ebben a szabályzatban megadott feltételeket, a Kraken tájékoztatja az illetékes bűnüldözési hatóságokat vagy a polgári felperest, hogy a kutatási tevékenységedet a legjobb tudásunknak megfelelően a program feltételei szerint és azoknak megfelelően végezted.
Minden kutatónak értesítenie kell bennünket, mielőtt olyan tevékenységet végez, amely nem felel meg ennek a szabályzatnak, vagy a szabályzat nem érinti azt. Szívesen fogadjuk a szabályzat egyértelműsítésével kapcsolatos javaslatokat, amelyek elősegítik, hogy a kutatók a kutatásaikat és az eredményeik jelentését magabiztosan végezhessék.