インターネットを安全に。

このご連絡を差し上げた理由

当社のエージェントが、貴組織のドメイン上に公開インターネットへ露出しているものを見つけました。貴チームが確認して塞げるよう、非公開でご連絡しています。他の誰にも伝えておらず、公表もしていません。

このプログラムが調べるもの

このプログラムが見るのは、公開インターネットからすでに見えているものだけです。

• 本来届くはずのないサービスが、インターネットから到達できる状態。
• 見つけた者なら誰でも入れる管理画面。
• 公開されたまま動き続けている開発用・デバッグ用ツール。
• 本来配信すべきでないファイルを配っているディレクトリ一覧。
• 稼働中のホストに残っている、既定のデプロイページ。
• 私たちと同じやり方で誰にでも見つけられる、類似の設定ミス。

エージェントが取得するのは、該当するドメインやサービスを特定し、問題の種類を述べるのに足るだけです。それ以上は踏み込みません。

オープンソースの調査

通知は露出した攻撃面を減らします。その下にあるコードを直すわけではありません。だからこのプログラムは源流でも働きます — 公開のオープンソースリポジトリを一度に一つ選び、使い捨てのサンドボックスの中で調べ、証明できるセキュリティ問題を探します。

エージェントが「脆弱だ」と主張しても、それは確認済みのリスクではありません。スキャナの出力も同じです。再現し、修正が持ちこたえ、その両方が他の人が再実行できる程度に書き残されるまで、何も数えません。

1. 01固定リポジトリは、本番の資格情報を持たない使い捨てサンドボックスへ、特定のコミットでクローンされます。
2. 02基準取得調査に入る前にプロジェクト自身のビルドとテストを走らせ、もともと何が通っていたのかを把握します。
3. 03調査エージェントはサンドボックスの中で、その固定した一つのリビジョンに対してコードを読み、動かします。
4. 04再現候補が数えられるのは、探索中の状態を一切残さないクリーンなチェックアウトから再現できたときだけです。
5. 05修正合理な範囲で最小の修正と、プロジェクトの構造上それが現実的な場合には回帰テストを一つ。
6. 06検証修正の前後で再現手順をもう一度走らせ、プロジェクト自身のチェックも再実行します。
7. 07確認結果を受け入れるか退けるかは人が決めます。研究室から自動で外へ出るものは何もありません。

合格を主張するためにテストを削除・スキップ・弱体化することは決してありません。基準に届かなければ、答えは「確認されたリスクなし」であり、何を試み、何を確認できなかったかとともに記録します。どちらの場合も、実行は同じパッケージを生みます。

このプログラムがしないこと

• パスワードの推測、資格情報の試行、認証の回避は行いません。
• 悪用、破壊的テスト、権限昇格、脆弱性の連鎖は行いません。
• 非公開ファイル、顧客レコード、ソースコード、認証済みコンテンツの収集は行いません。
• 見つけた問題の公表、販売、公開インデックス化は行いません。
• 調査中に稼働中またはホスティングされた環境をテストすることはありません。作業はローカルのクローンに対してのみ行います。
• フォーク、ブランチ、コミット、プッシュ、プルリクエスト、Issue のいずれも作りません。研究室はリポジトリへの書き込み権限を持ちません。
• 研究室自身がメンテナへ連絡したり、アドバイザリを出したり、CVE を申請したり、バウンティに提出したりすることはありません。
• 公開コードホストの一括スキャンは行いません。リポジトリは一つずつ、意図をもって選びます。

プライバシーとデータの取り扱い

通知は、そのドメインの適切な公開連絡先へ直接送ります。検出セッションはメッセージ配信後に破棄し、NullSquare はこのプログラムから得たリスクの検索可能なデータベースを保持しません。

調査の実行は公開されたソースコードのみを対象とします。サンドボックスは実行後に破棄し、証拠一式は社内に留めます。結果をメンテナへ持ち込むことがあるとすれば、それは人が下す別個の、意図的な判断です。

メール配信、不正利用防止、配信停止に関する最小限の記録は、別途保持することがあります。これらの記録に、複製した対象データやエクスプロイトの出力は含まれません。

通知の真正性を確かめる・返信する

本物の「Secure the internet」のメッセージが、資格情報・支払い・API キー・貴社システムへのアクセスを求めることは決してありません。メッセージへの返信、配信停止の依頼、連絡先の訂正、あるいは発信元の確認を、NullSquare へ直接お申し付けいただけます。