セキュリティ開示ポリシー

このポリシーは、crisisconnect.network、crisisconnect.com.tr、公開Webサイト、Crisis Connectモバイルアプリ、オープンソースのAndroidコードベース、Firebaseを基盤とするアプリサービス、役割証明書および救助認可フロー、公式サポートまたはダウンロードチャネルを含む、当社が運用または保守するCrisis Connect資産に適用されます。

第三者インフラは、当社が明示的にテストを許可しない限り、当該第三者の脆弱性開示プログラムに従います。

明確な件名と、問題を再現できる十分な詳細を添えて security@crisisconnect.network へメールしてください。

• 影響を受ける資産、アプリ版、端末またはブラウザ、アカウント種別、環境を説明してください。
• 安全な範囲で、再現手順、スクリーンショット、ログ、概念実証の詳細、想定される影響を含めてください。
• 個人データ、実際の緊急コンテンツ、アクセストークン、秘密鍵、無関係なシークレットはマスキングしてください。
• 公開GitHub Issue、SNS、アプリレビュー、コミュニティチャネルにエクスプロイトの詳細を投稿しないでください。

セキュリティテストは非破壊的で、比例的であり、利用を許可されたシステムとアカウントに限定してください。

• 自分のものではないデータにアクセス、複製、変更、削除、持ち出しをしないでください。
• サービスの可用性を低下させたり、近くのユーザーにスパムを送ったり、無線通信を妨害したり、緊急ワークフローに干渉したりしないでください。
• 物理セキュリティを回避したり、スタッフやユーザーをソーシャルエンジニアリングしたり、許可なく第三者プロバイダーをテストしたりしないでください。
• 機微データ、進行中の緊急データ、安全に影響する状態に遭遇した場合は、直ちにテストを中止して通知してください。

一部の発見は有用な背景情報になり得ますが、明確な悪用経路がなければ通常は対象外です。

• 検証や影響の説明を伴わない自動スキャン出力。
• ソーシャルエンジニアリング、フィッシング、物理攻撃、サービス拒否テスト。
• 現実的な攻撃経路がない、セキュリティヘッダーやCookieフラグの欠落。
• 権限昇格なしに、古い端末、root化端末、改変APK、またはユーザーが管理するローカルストレージだけに影響する問題。
• 当社の管理外にあるFirebase、アプリストア、地図プロバイダー、分析プロバイダー、その他の第三者システムへの報告。

善意で行動し、このポリシーを守り、プライバシーと安全への損害を避け、迅速に報告する限り、研究活動そのものを理由に当社が法的措置を取ることはありません。これは違法行為、データの悪用、恐喝、連携前の公開開示、または記載された範囲外の活動を許可するものではありません。

信頼できる報告の受領確認、重大度のトリアージ、影響コンポーネントの調査、確認された問題の修正、必要に応じた開示の調整を行うよう努めます。緊急通信や救助認可に関する問題は、公衆安全、対応者の信頼、端末ID、Firebaseルール、App Checkの強制、役割証明書、オフラインメッセージの完全性に影響する可能性があるため優先されることがあります。

Crisis Connectは現在、有償のバグ報奨金プログラムを運営していません。報告の提出によって、支払い、報酬、雇用、公的なクレジット、継続的なアクセスを受ける権利は発生しません。安全かつ合法的に可能な場合、当社の裁量で謝意を表すことがあります。

オープンソースコードについては、一般的な堅牢化、ドキュメント、機微でないバグには公開Issueを使用してください。脆弱性の疑い、回避、認証または認可の不具合、鍵の取り扱いの問題、救助ロールの悪用経路、App Checkの回避、または修正前に攻撃者を助ける可能性がある事項は、非公開のセキュリティメールを使用してください。

脆弱性報告、協調開示に関する質問、セキュリティポリシーへの懸念には、このアドレスを使用してください。