Kraken lägger stort värde vid att säkerhetsexperter och utvecklare bidrar till att skydda våra produkter och användare. Kraken har upprättat och uppmuntrar till ansvarsfull rapportering av sårbarheter via vårt Bug Bounty-program. Big Bounty-programmet främjar Krakens verksamhet genom att bidra till skyddet av kunder på den digitala kryptomarknaden.
När du söker efter buggar i Krakens system samtycker du till att hålla alla data samt all information om sårbarheter, din forskning och kommunikation med Kraken strängt konfidentiell tills Kraken har åtgärdat problemet och gett tillstånd att lämna ut uppgifterna.
Så länge kraven i denna policy följs samtycker Kraken till att inte vidta rättsliga åtgärder gentemot säkerhetsforskning som utförts i enlighet med alla Krakens Bug Bounty-policyer, inklusive god tro och oavsiktliga överträdelser.
Undvik avsiktliga policyöverträdelser genom att skapa testkonton när det är möjligt. Om du stöter på identitetsuppgifter eller andra känsliga uppgifter för konton vars uppgifter du inte har kontoägarens uttryckliga skriftliga tillstånd att använda för att validera dina resultat ska du omedelbart sluta använda uppgifterna och rapportera problemet till Kraken med en beskrivning av identitetsuppgifterna eller de känsliga uppgifterna, inte själva uppgifterna.
Enligt dataskyddsbestämmelser och våra integritetspolicyer gäller följande:
- Lagra eller överför inte andra kunders identitetsuppgifter. Om du råkar samla in identitetsuppgifter från kunder ska du omedelbart rapportera detta till Kraken och sedan förstöra alla exemplar av identitetsuppgifter som inte är dina.
- Minimera datainsamlingen och åtkomsten till data under din forskning. Samla in och lagra endast information som är absolut nödvändig för att demonstrera och rapportera sårbarheten.
- Radera omedelbart alla insamlade data på ett säkert sätt när rapporten är inskickad och Kraken har bekräftat mottagandet.
- Lämna inte ut information om sårbarheter eller därmed förknippad information till tredjeparter utan Krakens uttryckliga skriftliga tillstånd. Detta omfattar, men begränsas inte till, sociala medier, andra företag eller medier.
- Om du rapporterar ett dataintrång eller platsen för ett datalager istället för en säkerhetssårbarhet ska du ange var dessa data finns och inte använda dem vidare eller lämna ut platsen där dessa data finns till andra.
En Bug Bounty-rapport får aldrig innehålla hot eller utpressningsförsök. Vi är öppna för att betala ut belöningar för legitima resultat, men vi betalar inte för utpressningskrav. Till exempel betraktas vägran att överlämna information om sårbarheten eller annat hinder för möjligheten att åtgärda sårbarheten tills andra krav har uppfyllts som ett utpressningskrav. Vi kan vara skyldiga enligt lag eller själva välja att rapportera Bug Bounty-rapporter med utpressningskrav till myndigheterna.
Vi anser att aktiviteter som utförts i enlighet med denna policy utgör ”tillåtet” beteende enligt Computer Fraud and Abuse Act (CFAA), Digital Millennium Copyright Act (DMCA) och tillämpliga intrångsbekämpningslagar såsom Cal. Penal Code 503(c). Vi kommer inte att vidta åtgärder mot forskare som inom ramen för Bug Bounty-programmet kringgår de tekniska åtgärder vi har använt för att skydda applikationerna. Det faktum att denna policy följs innebär dock inte att Kraken eller någon annan enskild organisation eller myndighet kan bevilja immunitet mot globala lagar. Enskilda säkerhetsforskare har ansvaret för att förstå och följa alla tillämpliga lokala och internationella lagar som rör intrång, data och integritet samt exportkontroll. Om en tredjepart vidtar rättsliga åtgärder mot dig och du följde villkoren i denna policy kommer Kraken att informera berörda polismyndigheter eller målsägande om att din forskningsverksamhet, såvitt vi vet, utfördes enligt, och på ett sätt som är förenligt med, villkoren i detta program.
Alla forskare måste meddela oss innan de vidtar åtgärder som kan vara oförenliga med denna policy eller inte tas upp i den. Vi välkomnar förslag på hur policyn kan förtydligas på ett sätt som hjälper forskare att tryggt genomföra sin forskning och rapportera.