Kraken tror sterkt på verdien av sikkerhetseksperter og utviklere som bidrar til å holde produktene og brukerne våre trygge. Kraken har etablert og oppmuntrer til koordinert formidling av sårbarheter (coordinated vulnerability disclosure, CVD) via programmet Programfeil-dusør. Programmet Programfeil-dusør følger Krakens formål ved å beskytte kunder i det digitale valutamarkedet.
Når du ser etter programfeil i Krakens systemer, samtykker du til å holde alle data, opplysninger om sårbarheter, undersøkelsen din og kommunikasjon med Kraken strengt konfidensielle frem til Kraken har håndtert problemet og gitt tillatelse til at de formidles.
Så lenge kravene til disse retningslinjene overholdes, samtykker Kraken i å ikke ta juridiske skritt mot sikkerhetsundersøkelser som er gjort basert på alle publiserte Kraken-retningslinjer i forbindelse med Programfeil-dusør, inkludert i utilsiktede brudd som er forekommet i god tro.
Unngå tilsiktede krenkelser av personvernet ved å opprette testkontoer når det er mulig. Hvis du støter på personlig identifiserbar informasjon (PII) eller andre sensitive opplysninger for kontoer du ikke har uttrykkelig skriftlig samtykke fra kontoinnehaveren til å bruke for å validere funnene dine, må du straks la være å se, på hente ut eller bruke opplysningene/dataene og rapportere saken til Kraken på en slik måte at du bare gir en beskrivelse (omtale) av PII-dataene eller de andre sensitive opplysningene, uten at du gjengir selve dataene.
I henhold til personvernlovgivningen og retningslinjene våre for personvern må du overholde følgende regler:
- Ikke lagre eller overføre andre kunders personlig identifiserbar informasjon (PII). Hvis du får tak i en kundes PII, må du rapportere det til Kraken umiddelbart og så destruere alle kopier av PII som ikke tilhører deg.
- Minimer datainnsamling og tilgang under undesøkelsene dine. Du må bare samle inn og oppbevare informasjon som er absolutt nødvendig for å demonstrere og rapportere sårbarheten.
- Slett umiddelbart og på en sikker måte alle innsamlede data når rapporten er sendt inn og Kraken har bekreftet mottak.
- Du skal ikke formidle sårbarheter eller tilknyttet informasjon til tredjeparter uten uttrykkelig skriftlig samtykke fra Kraken. Dette omfatter, men er ikke begrenset til sosiale medier, andre selskaper eller pressen.
- Hvis du rapporterer brudd på data- eller opplysningssikkerheten eller plasseringen av et datalager i stedet for en sikkerhetssårbarhet, skal du bare oppgi plasseringen av dataene, ikke gå tilbake til plasseringen. Du må heller ikke dele plasseringen av dataene med andre.
En innsendelse i forbindelse med Programfeil-dusør kan ikke inneholde trusler eller forsøk på utpressing. Vi er åpne for å betale dusører for legitime funn, men krav om løsepenger anses ikke som kvalifisert til noen utbetaling. Å ikke frigi informasjon om sårbarheten eller på annen måte forhindre muligheten til å løse sårbarheten frem til andre krav er møtt, vil anses som et krav om løsepenger. Vi kan være bundet av lov eller velge å rapportere eventuelle Programfeil-dusør-innsendinger til myndighetene som inneholder krav om løsepenger.
Vi mener at aktiviteter utført i tråd med disse retningslinjene utgjør «autorisert» atferd i henhold til lovene Computer Fraud and Abuse Act (CFAA), Digital Millennium Copyright Act (DMCA) og gjeldende antihacking-lover som California Penal Code 503(c). Vi kommer ikke til å rette noen krav mot undersøkere som omgår de tekniske tiltakene vi har brukt til å beskytte applikasjonene i omfang av Programfeil-dusør-programmet. Det at du følger disse retningslinjene betyr ikke at Kraken eller andre organisasjoner eller myndigheter kan gi deg immunitet mot global lovgivning. Det er ansvaret til individuelle sikkerhetsundersøkere å forstå og overholde alle gjeldende og lokale lover vedrørende antihacking, data og personvern og eksportkontroller. Hvis en tredjepart fremmer søksmål mot deg selv om du har fulgt vilkårene i disse retningslinjene, vil Kraken informere relevante rettshåndhevende myndigheter eller den saksøkende part om at undersøkelsesaktivitetene dine, så vidt vi vet, er utført i tråd med og i henhold til vilkårene for dette programmet.
Det er et krav at hver undersøker sender inn et varsel til oss før vedkommende gjør noe som kan stride imot eller som ikke er omfattet av disse retningslinjene. Vi tar imot anbefalinger for å forklare retningslinjene på en måte som hjelper undersøkerne til å utføre undersøkelsen sin og rapportere med trygghet.