لنجعل الإنترنت آمنًا.

لماذا وصلتك رسالة

عثر أحد وكلائنا على شيء مكشوف للإنترنت العام على نطاق تملكه مؤسستك. كتبنا إليك على نحو خاص كي يتمكّن فريقك من مراجعته وإغلاقه. لم نُخبر أحدًا سوانا، ولم ننشره.

ما الذي يفحصه البرنامج

لا ينظر البرنامج إلا إلى ما هو ظاهر أصلًا من الإنترنت العام:

• خدمة يمكن بلوغها من الإنترنت وما كان ينبغي لها.
• واجهة إدارة مفتوحة لكل من يعثر عليها.
• أداة تطوير أو تنقيح تُركت تعمل للعموم.
• قائمة مجلدات تقدّم ملفات ما كان ينبغي تقديمها أبدًا.
• صفحة نشر افتراضية ما زالت قائمة على مضيف حي.
• خطأ إعداد مشابه يستطيع أي شخص أن يجده بالطريقة نفسها التي وجدناه بها.

لا يأخذ الوكيل إلا ما يكفي لتسمية النطاق أو الخدمة المتأثرة وبيان نوع المشكلة. ولا يمضي أبعد من ذلك.

أبحاث المصدر المفتوح

الإبلاغ يقلّص سطح الهجوم المكشوف، لكنه لا يُصلح الشيفرة التي تحته. لذلك يعمل البرنامج عند المنبع أيضًا: نختار مستودعًا مفتوح المصدر عامًا واحدًا في كل مرة وندرسه داخل بيئة معزولة تُتلَف بعد الاستعمال، بحثًا عن مشكلة أمنية نستطيع إثباتها.

قول وكيل إن شيئًا ما قابل للاستغلال ليس خطرًا مؤكَّدًا، ولا مخرجات الماسح كذلك. لا يُحتسب شيء حتى يُعاد إنتاجه، ويصمد الإصلاح، ويُدوَّن الاثنان بما يكفي كي يعيد شخص آخر تشغيلهما.

1. 01التثبيتيُستنسخ المستودع عند إيداع محدد داخل بيئة معزولة تُتلَف بعد الاستعمال ولا تحوي بيانات اعتماد إنتاجية.
2. 02خط الأساسيُشغَّل بناء المشروع واختباراته قبل أي بحث، كي نعرف ما كان ناجحًا أصلًا.
3. 03البحثيقرأ الوكيل الشيفرة ويشغّلها داخل البيئة المعزولة، على تلك المراجعة المثبّتة وحدها.
4. 04إعادة الإنتاجلا يُحتسب المرشّح إلا حين يُعاد إنتاجه من نسخة نظيفة، بلا أي حالة متبقية من الاستكشاف.
5. 05الإصلاحأصغر إصلاح معقول، مع اختبار انحدار حيث يتيح المشروع ذلك عمليًا.
6. 06التحقّقيُعاد تشغيل خطوات إعادة الإنتاج قبل الإصلاح وبعده، وتُشغَّل فحوص المشروع نفسها من جديد.
7. 07المراجعةيقبل شخص النتيجة أو يرفضها. ولا يغادر المختبرَ شيءٌ تلقائيًا.

لا تُحذف الاختبارات ولا تُتخطّى ولا تُضعَّف لادّعاء النجاح. وحين لا يبلغ العمل الحد، يكون الجواب: لا خطر مؤكَّد — مُسجَّلًا مع ما جُرِّب وما تعذّر فحصه. وفي الحالتين ينتج التشغيل الحزمة نفسها:

ما لا يفعله البرنامج

• لا تخمين لكلمات المرور، ولا اختبار لبيانات الاعتماد، ولا تجاوز للمصادقة.
• لا استغلال، ولا اختبار مُتلِف، ولا تصعيد للصلاحيات، ولا تسلسل للثغرات.
• لا جمع لملفات خاصة، ولا سجلات عملاء، ولا شيفرة مصدرية، ولا محتوى خلف تسجيل الدخول.
• لا نشر للمشكلات المكتشفة، ولا بيعها، ولا فهرستها للعموم.
• لا اختبار لبيئة حية أو مستضافة أثناء البحث. يجري العمل على نسخة محلية فقط.
• لا تفريعات ولا فروع ولا إيداعات ولا دفعات ولا طلبات سحب ولا تذاكر. لا يملك المختبر صلاحية الكتابة في المستودع.
• لا يتواصل المختبر بنفسه مع القائمين على المشروع، ولا يُصدر تنبيهات، ولا يطلب أرقام CVE، ولا يتقدّم لبرامج المكافآت.
• لا مسح جماعي لمستضيفات الشيفرة العامة. تُختار المستودعات واحدًا تلو الآخر، عن قصد.

الخصوصية والتعامل مع البيانات

تُرسَل الإشعارات مباشرة إلى جهة اتصال عامة مناسبة للنطاق. وتُتلَف جلسة الاكتشاف بعد تسليم الرسالة، ولا تحتفظ NullSquare بقاعدة بيانات قابلة للبحث لمخاطر هذا البرنامج.

لا تعمل عمليات البحث إلا على شيفرة مصدرية عامة. تُدمَّر البيئة المعزولة بعد التشغيل، وتبقى حزمة الأدلة داخلية. وإذا حُملت نتيجة يومًا إلى القائم على المشروع، فذلك قرار منفصل ومقصود يتخذه شخص.

قد نحتفظ منفصلًا بسجلات بالحد الأدنى عن تسليم البريد ومنع إساءة الاستخدام وطلبات إيقاف المراسلة. ولا تتضمّن هذه السجلات بيانات هدف منسوخة ولا مخرجات استغلال.

تحقّق من إشعار أو ردّ عليه

الرسالة الحقيقية من «Secure the internet» لن تطلب أبدًا بيانات اعتماد أو دفعًا أو مفاتيح واجهات برمجية أو وصولًا إلى أنظمتك. يمكنك الرد على الرسالة، أو طلب إيقاف المراسلة، أو تصحيح جهة الاتصال، أو التحقّق من مصدرها مباشرة لدى NullSquare.