Tổng quan

Bug bounties là một phương thức thưởng cho những người tìm ra lỗ hổng bảo mật trong hệ thống của một công ty hoặc tổ chức. Đây là một cách hiệu quả để tăng cường độ an toàn của hệ thống bằng cách sử dụng sự am hiểu của cộng đồng về bảo mật. Khi các lỗ hổng bảo mật được phát hiện và báo cáo, những người tìm ra chúng sẽ được thưởng tiền hoặc các phần thưởng khác, tùy thuộc vào mức độ nghiêm trọng của lỗ hổng.

Nhờ vào việc này, bug bounties giúp đảm bảo rằng các lỗ hổng được phát hiện sớm và giải quyết trước khi chúng có thể được khai thác bởi các kẻ tấn công. Bug bounties cũng thường được sử dụng để thu hút sự quan tâm của các chuyên gia về bảo mật và cộng đồng hacker, góp phần tăng cường độ tin cậy và an toàn của hệ thống.

Series hướng dẫn lập trình Cadence

Bug & bounty

Với mục tiêu tăng cường an ninh và bảo vệ các dịch vụ, Flow cung cấp chương trình Bug Bounty hấp dẫn với giải thưởng lên tới 1 triệu USD cho mỗi cá nhân hoặc tổ chức. Các giải thưởng sẽ được xác định dựa trên mức độ nghiêm trọng của lỗ hổng và sẽ được quyết định bởi Flow theo quyền hạn tuyệt đối của họ. Tuy nhiên, mỗi người hoặc tổ chức chỉ được trả tối đa 1 triệu USD trong vòng 12 tháng liên tiếp dựa trên giá trị giải thưởng tại thời điểm thanh toán. Tất cả các giải thưởng Bug Bounty đều tuân thủ luật pháp hiện hành.

Những điều cần làm:

• Cố gắng hết sức để tránh truy cập trái phép, sử dụng, tải xuống, phá hủy hoặc tiết lộ thông tin cá nhân hoặc tin cậy.
• Tránh các hành động có thể ảnh hưởng đến trải nghiệm người dùng, làm gián đoạn hệ thống sản xuất, thay đổi hoặc phá hủy dữ liệu trong quá trình kiểm thử bảo mật.
• Sử dụng các kênh liên lạc do chúng tôi cung cấp để báo cáo thông tin lỗ hổng cho chúng tôi.
• Giữ thông tin về bất kỳ lỗ hổng nào bạn phát hiện ra giữa chúng tôi bí mật trong một thời gian hợp lý để cho phép chúng tôi xem xét và giải quyết lỗ hổng hoặc cho đến khi chúng tôi đã thông báo cho bạn rằng lỗ hổng đã được giải quyết.
• Chỉ kiểm tra các tài sản được liệt kê trong phần “Tài sản trong phạm vi”.

Những điều không nên làm:

• Không bao gồm Dữ liệu Nhạy cảm trong báo cáo của bạn. Xem phần “Dữ liệu Nhạy cảm” để biết thêm thông tin.
• Không thực hiện bất kỳ cuộc tấn công nào có thể gây ra từ chối dịch vụ cho mạng, máy chủ, ứng dụng hoặc dịch vụ trên bất kỳ cổng hoặc giao thức nào.
• Không sử dụng các công cụ quét tự động để quét hoặc tấn công liên tục vào các điểm cuối của chúng tôi.
• Không cố gắng tấn công không kỹ thuật như kỹ nghệ xã hội, lừa đảo qua email, hoặc các cuộc tấn công vật lý vào nhân viên, người dùng hoặc cơ sở hạ tầng của chúng tôi.
• Không thực hiện kiểm tra vật lý như truy cập văn phòng và trung tâm dữ liệu (ví dụ như mở cửa, tailgating, tấn công đầu đọc thẻ hoặc kiểm tra phá hủy vật lý). Không kiểm tra các tài sản được liệt kê rõ ràng trong phần “Tài sản Nằm ngoài Phạm vi”.

Môi trường thử nghiệm

Để đảm bảo cộng đồng nhà phát triển có thể sử dụng và trải nghiệm đầy đủ tính năng mới này, đội ngũ Flow đã triển khai bản phát hành xem trước của nó trên Testnet. Vì vậy, bạn có thể kiểm tra nó trước khi nó được phát trực tiếp!

Tìm hiểu thêm về Testnet tại đây

Tài sản Nằm trong Phạm Vi

Để đủ điều kiện để nhận được phần thưởng, bạn có thể báo cáo lỗ hổng trong một hoặc nhiều tài sản Dapper sau đây:

• *.flow.com
• *.onflow.org

Tài Sản Nằm Ngoài Phạm Vi

Các tài sản sau đây không thuộc Chương Trình Tiết Lộ Trách Nhiệm: n/a

Dữ liệu Nhạy Cảm

Vì lợi ích bảo vệ sự riêng tư, chúng tôi không muốn nhận được báo cáo chứa: Thông tin cá nhân Dữ liệu thẻ thanh toán (ví dụ: số thẻ tín dụng) Thông tin tài chính (ví dụ: số tài khoản ngân hàng) Thông tin chứng chỉ được truy cập hoặc bẻ khóa trong văn bản rõ ràng

Những loại lỗ hổng không đủ điều kiện (Loại trừ)

Giao thức Flow:

Hệ sinh thái Flow đang tiến hành phân tán mạng lưới dần dần bằng cách củng cố bảo mật cấp giao thức và giới thiệu các nút không yêu cầu phân quyền. Vì lý do này, Flow vẫn dựa trên các nút tuân thủ giao thức và tiền thưởng giới hạn cho các loại nút không yêu cầu phân quyền. Chỉ các cuộc tấn công bắt nguồn từ các nút truy cập và quan sát mới đủ điều kiện.

Các lỗ hổng cấp giao thức chỉ có thể khai thác thông qua việc kiểm soát các nút Collection, Consensus, Execution hoặc Verification được loại trừ.