Security

/ TransIP Responsible disclosure policy

Wij nemen de veiligheid van onze systemen en onze gebruikers zeer serieus en hechten veel waarde aan het verbeteren hiervan. Zoals je waarschijnlijk wel eens op het nieuws hebt gezien, kunnen zelfs de grootste bedrijven slachtoffer worden van cyberaanvallen via kwetsbaarheden in hun software. Om zulke toestanden te voorkomen en slechtgezinden een stapje voor te blijven, willen we iedereen belonen die een kwetsbaarheid in onze systemen vindt en dat aan ons meldt. Lees hieronder hoe dit in zijn werk gaat.

/ Spelregels openbaarmaking

Om in aanmerking te komen als securityheld van TransIP, ben je verplicht om:
 
  • schending van privacy, verslechtering van de gebruikerservaring, verstoring aan productiesystemen en vernietiging van gegevens tijdens je beveiligingstests te vermijden;
  • alleen onderzoek te verrichten binnen het hieronder uiteengezette kader; en
  • informatie over kwetsbaarheden die je ontdekt hebt, vertrouwelijk te houden tussen jou en TransIP en ons 90 dagen te geven om het probleem op te lossen.
     
Als je deze richtlijnen opvolgt, zullen wij:
 
  • met je samenwerken om de kwetsbaarheid te begrijpen en snel op te lossen (waaronder een eerste bevestiging van je melding binnen 72 uur na indiening daarvan);
  • je op de hoogte houden van onze pogingen om de kwetsbaarheid op te lossen;
  • geen wettelijke maatregelen ondernemen ten aanzien van jouw onthulling; en
  • je belonen met een fantastische 'goodie bag' wanneer je de eerste bent die een kwetsbaarheid meldt en we een verandering aan onze code of configuratie aanbrengen dankzij jouw melding.

/ Binnen het kader van openbaarmaking vallen:

 

/ Buiten het kader van openbaarmaking vallen:

Vanwege de veiligheid van onze gebruikers, medewerkers, het internet in het algemeen en jou als beveiligingsonderzoeker vallen de volgende manieren van testen buiten het kader:
 
  • het testen van services die worden gehost door derden (providers en dienstverleners);
  • het testen van applicaties die niet onder het beheer van TransIP vallen;
  • het fysiek testen, zoals het betreden van kantoren (bijvoorbeeld open deuren, tailgating);
  • social engineering (bijvoorbeeld phishing, vishing);
  • het testen van applicaties en systemen die niet zijn vermeld onder het kopje 'Binnen het kader van openbaarmaking vallen';
  • het testen op UI- en UX-bugs en spelfouten; en
  • network level denial of service (DoS/DDoS)-kwetsbaarheden.

Wat we niet van jou wensen te ontvangen, zijn:

  • persoonlijk identificeerbare informatie (PII); en
  • betalingsgegevens, zoals bankrekeningnummers en creditcardgegevens.

/ Hoe meld je een beveiligingskwetsbaarheid aan ons?

Als je denkt dat je in een van onze producten of platformen een beveiligingskwetsbaarheid hebt gevonden, meld deze dan snel per e-mail aan security@transip.nl. Vergeet niet de volgende details aan je melding toe te voegen:
 
  • een beschrijving van de locatie en de potentiële impact van de kwetsbaarheid;
  • een gedetailleerde beschrijving van de stappen die nodig zijn om de kwetsbaarheid te reproduceren (POC-scripts, screenshots en gecomprimeerde screencaptures vinden we allemaal nuttig);
  • je naam/handle en een link naar keuze om eeuwig te ‘shinen’ in onze Hall of Fame.
     
Als je de informatie liever versleutelt, gebruik dan de PGP-sleutel van ons team: (ID: 6D0E2A2E, Fingerprint: 5CF5 61BE C0AA AE11 8164 6576 4FDD F923 6D0E 2A2E).

Happy hacking!

/ Hall of Fame

Remon

Helped us by alerting us about vulnerable servers. 

LinkedIn

Olivier Beg - Nick: Smiegles

Found out that it was possible to take over a subdomain which was directing to an unclaimed Cloudfront distribution. 

LinkedIn

Vivek Jain - Nick: rock2017

Found multiple small bugs which needed to be fixed to improve the overall security of our platform.

LinkedIn

Jacek Smit

Found a server which was open to the internet and was not properly configured.

LinkedIn

Yeasir Arafat

Found several XSS bugs throughout our platform. 

Website

Sandeep Kumar Yadav - Nick: SKY

Found an XSS vulnerability in the TransIP control panel. 

Facebook

Elyesa in der Maur

Found two XSS vulnerabilities within our platform. 

Website

d1m0ck

Found an open redirect on transip.be

Twitter

Steven Prins – Nick: stepri

Helped us further improve rate-limiting in 2FA entry.

Twitter

iamsushi

Found a CSRF bug in GET requests.

Twitter

Elumalai vasan - Nick: 7hills

Discovered multiple CSRF vulnerabilities on one of our platforms.

LinkedIn

Akash Sebastian

Helped us further improve rate-limiting in our password reset functionality.

Facebook

Pankaj Kumar Thakur

Found a content spoofing vulnerability on the TransIP website.

Twitter

Mayur Parmar – Nick: The Cyber Cop

Found an XSS vulnerability on one of our platforms.

LinkedIn

DIWAKAR. S – Nick: who-is-mr-robot

Discovered a bruteforce vulnerability in our frontend.

LinkedIn

Shivam Kamboj Dattana

Found information being exposed on a public interface that should not be there.

Twitter

Jatin N

Demonstrated an attack vector on one of our communications channels.

Twitter

Mohd. Danish Abid

Discovered a potential DoS attack on our main site.

LinkedIn