Güvenlik açığı bildir

OstlerTech ürünlerinde bir güvenlik açığı bulduğunuzu düşünüyorsanız bize bildirmenizi rica ederiz. Bildirimleri ciddiye alırız; doğrulanan açıklar için düzeltme ya da önlem hazırlar, kullanıcıları etkileyen durumlarda bunu düzeltmenin yer aldığı sürümün notunda belirtiriz.

Bildirim için: guvenlik@ostlertech.com (konu satırına "Güvenlik açığı bildirimi" yazmanız işimizi kolaylaştırır). Bu adres security.txt dosyamızda da yer alır.

Kapsam

Aşağıdakilerde bulunan güvenlik açıkları kapsamdadır:

• SyncPass Android uygulaması (Google Play'de yayımlanmış sürüm)
• SyncPass Masaüstü (Windows) uygulaması
• SyncPass Chrome eklentisi
• ostlertech.com sitesi ve bu sitenin sunduğu hizmetler (ör. lisans anahtarı sayfası)

Kapsam dışı

• Sosyal mühendislik (kandırma, oltalama), fiziksel saldırılar ve OstlerTech çalışanlarına ya da kullanıcılarına yönelik her türlü deneme.
• Hizmeti aksatmaya yönelik testler (DoS/DDoS), yoğun otomatik tarama ve istek yağdırma.
• Cihazı zaten ele geçirmiş birinin yapabilecekleri (root/jailbreak edilmiş cihaz, cihaza kötü amaçlı yazılım kurulmuş olması, kilidi açık ve başkasının elinde olan cihaz).
• Etkisi gösterilemeyen bulgular: yalnızca otomatik tarama aracı çıktısı, eksik güvenlik başlığı ya da çerez bayrağı gibi somut bir saldırıya dönüştürülemeyen tespitler.
• Üçüncü tarafların kendi sistemleri (ör. Google Play, Paddle, Supabase, Cloudflare, tarayıcı mağazaları). Bunlardaki açıkları ilgili şirkete bildirin.
• Desteği sona ermiş eski sürümler ve yayımlanmamış test derlemeleri.
• Spam, e-posta yapılandırması (SPF/DMARC) önerileri ve benzeri sıkılaştırma (hardening) önerileri; bunları da memnuniyetle okuruz, ancak güvenlik açığı bildirimi sayılmaz.

Test ederken

• Yalnızca kendi hesabınız, kendi kasanız ve kendi cihazlarınızla test edin. Başkasının verisine erişmeyin; yanlışlıkla erişirseniz durun ve bize bildirin.
• Bildirimlere gerçek şifre, kasa içeriği ya da başka kişilere ait kişisel veri eklemeyin. Gerekirse sahte (örnek) veri kullanın.
• Bulduğunuz açığı doğrulamak için gerekenden fazlasını yapmayın: veriyi indirmeyin, değiştirmeyin, silmeyin.
• ostlertech.com'da yalnızca kendi lisansınızla ve normal kullanım düzeyinde istekle test edin; başkasının lisansını ya da kaydını denemeyin.

Bildirimde neler yazılmalı

• Etkilenen ürün ve sürüm (uygulama ayarlarındaki sürüm numarası), cihaz ve işletim sistemi.
• Açığın kısa özeti ve etkisi: bir saldırgan bununla ne yapabilir?
• Adım adım yeniden üretme yolu; mümkünse ekran görüntüsü, kısa video ya da kavram kanıtı kodu.
• Bulguyu başka kimlerle paylaştığınız ve herkese açık bir ifşa tarihi planlayıp planlamadığınız.
• Teşekkür listesinde adınızın (ya da takma adınızın) yer almasını isteyip istemediğiniz.

Güvenli bir iletişim kanalı gerekiyorsa ilk e-postada yalnızca kısa bilgi verin ve bunu belirtin; ayrıntıları iletmek için birlikte uygun bir yol belirleriz.

Süreç ve 90 günlük koordineli ifşa

• Bildiriminizin bize ulaştığını genellikle birkaç iş günü içinde yazılı olarak teyit etmeyi hedefleriz.
• Bulguyu doğrular, etkisini değerlendirir ve düzeltme için tahmini bir takvim paylaşırız.
• Düzeltme yayımlanana kadar ayrıntıları üçüncü kişilerle paylaşmamanızı ve herkese açık yayımlamamanızı rica ederiz.
• Koordineli ifşa için üst sınır, bildirimin bize ulaştığı tarihten itibaren 90 gündür. Bu süre içinde düzeltme yayımlanırsa ifşa tarihini birlikte belirleriz. Düzeltme 90 günde tamamlanamazsa gerekçesini yazarak sizinle görüşürüz; süre uzatması karşılıklı anlaşmayla yapılır. 90 gün dolduğunda bulguyu yayımlamadan önce bize haber vermenizi ve kullanıcıları doğrudan riske atacak çalışan saldırı kodunu yayımlamamanızı rica ederiz.
• Kullanıcıları doğrudan ilgilendiren bir açık için düzeltme çıkınca sürümün notunda bunu belirtiriz.

Teşekkür listesi

Düzeltilen açıkları bildirenlerin adını ya da takma adını, yalnızca bize yazılı olarak açıkça izin verirlerse burada teşekkürle anarız. Listede yer almak isteğe bağlıdır; izninizi istediğiniz zaman geri alabilirsiniz, adınızı listeden çıkarırız.

Listede henüz adı geçen kimse yok.

Bu sayfanın kapsamı

Bu sayfa, bildirimlerin nasıl ele alındığını anlatır. Ödül (bug bounty) ya da herhangi bir ödeme taahhüdü içermez; ayrıca hukuki bir güvence ya da bağışıklık sağlamaz. Bununla birlikte, yukarıdaki kurallara uyarak iyi niyetle yapılan bildirimlere iyi niyetle karşılık vermeyi amaçlarız. Kişisel verilerin işlenmesi için Gizlilik ve KVKK metnine bakabilirsiniz.