Marraskuu 2025: Tämä artikkeli on päivitetty vastaamaan uusinta palkkioiden maksujärjestelmää. Enimmäispalkkio on noussut 10 000 dollarista 100 000 dollariin.

Kuten Proton Mailin kohdalla, olemme rakentaneet Proton VPN:n turvallisuutta painottaen. Tänään lanseeraamme vikapalkkiojärjestelmän, jolla parannamme entisestään Proton VPN:n turvallisuutta.

VPN-palvelun ylläpidossa turvallisuutta ei tarvita ainoastaan VPN-yhteyksille ja -protokollille itselleen. Turvallisuutta tarvitaan myös taustalla olevalle palvelininfrastruktuurille, verkkosivuille ja hallintapaneeleille, itse VPN-sovelluksille, maksujärjestelmälle sekä käyttäjätietokannoille. Jotta käyttäjien yksityisyys voidaan suojata asianmukaisesti, meidän on suojeltava palvelun kaikkia osa-alueita altistumiselta.

Rakentaessamme Proton VPN:ää hyödynsimme turvallisuusosaamista, jota olemme kerryttäneet ylläpitäessämme maailman suurinta turvallista sähköpostipalvelua(uusi ikkuna). Olemme tehneet yhteistyötä myös Proton Mailin tietoturva-avustajien(uusi ikkuna) ja laajemman yhteisön kanssa Proton VPN:n kaikkien osa-alueiden vahvistamiseksi. Äskettäin teimme yhteistyötä pitkäaikaisen Proton Mailin tietoturva-avustajan Mazin Ahmedin(uusi ikkuna) kanssa suorittaaksemme Proton VPN:lle kattavan tietoturva-auditoinnin ja lisätäksemme kovennuksia.

Vikapalkkiojärjestelmämme antaa meille mahdollisuuden laajentaa työtä, jota teemme jo päivittäin Proton VPN:n käyttäjien suojelemiseksi. Tästä syystä, kun Proton VPN on nyt virallisesti julkaistu, yksi ensimmäisistä tehtävistämme on Proton VPN:n vikapalkkiojärjestelmän käynnistäminen. Tämän ohjelman kautta kutsumme tietoturva-asiantuntijoita ympäri maailmaa etsimään heikkouksia Proton VPN:stä, ja maksamme palkkioita (vikapalkkioita) tietoturvaongelmista, jotka raportoidaan meille tämän ohjelman kautta. Jos olet tietoturvatutkija, voit osallistua myös Proton Mailin vikapalkkiojärjestelmään(uusi ikkuna).

Proton VPN:n vikapalkkiojärjestelmä

Säännöt

Laajuus: Ohjelma koskee vain Proton VPN:n ylläpitämiä palvelimia sekä verkko-, työpöytä- ja mobiilisovelluksia. Profiilimme Facebookissa, Twitterissä, Linkedinissä, Eventbritessä jne. eivät kuulu ohjelman piiriin. Ohjelmaan hyväksytyt sivustot ovat:

  • protonvpn.com
  • account.protonvpn.com
  • api.protonvpn.ch [Huom: .ch eikä .com]

Myös Proton VPN:n sovellukset Windowsille, MacOS:lle, Linuxille, iOS:lle ja Androidille kuuluvat tähän ohjelmaan.

Arviointi: Palkinnoista päättävä arviointiraati koostuu Proton VPN:n ja Proton Mailin kehittäjistä, joita avustavat yksi tai useampi ulkopuolinen asiantuntija, jotka kuuluvat tietoturvaryhmäämme. Ohjelman osallistujat sitoutuvat kunnioittamaan tuomareiden lopullista päätöstä.

Vastuullinen ilmoittaminen: Pyydämme ilmoittamaan kaikki haavoittuvuudet meille osoitteeseen security@proton.me. Katsomme, että puutteen paljastaminen kolmansille osapuolille muihin kuin vian varsinaiseen korjaamiseen tähtääviin tarkoituksiin on tämän ohjelman hengen vastaista. Osallistujat sitoutuvat olemaan paljastamatta löytämiään vikoja ennen kuin ne on korjattu ja koordinoimaan ilmoittamisen tiimimme kanssa julkaisutietojemme kautta sekaannusten välttämiseksi.

Vastuullinen testaaminen: \u00a0Älä hakkeroi käyttäjätilejä, turmele tietokantoja äläkä vuoda mahdollisesti arkaluonteisia tietoja. Emme myöskään suosittele haavoittuvuustestausta, joka heikentää palvelun laatua käyttäjillemme. Jos olet epävarma, ota yhteyttä tietoturvatiimiimme osoitteessa security@proton.me.

Sääntöjen noudattaminen: Osallistumalla tähän ohjelmaan sitoudut noudattamaan edellä mainittuja sääntöjä ja ehtoja. Palkintokelpoisuuden edellytyksenä on kaikkien sääntöjen noudattaminen.

Hyväksyttävät haavoittuvuudet

Kaikki suunnitteluun tai toteutukseen liittyvät ongelmat, jotka vaikuttavat olennaisesti käyttäjätietojen luottamuksellisuuteen tai eheyteen, kuuluvat todennäköisesti ohjelman piiriin. Tämä koskee muun muassa seuraavia:

Verkkosovellukset

  • Ristisivuskriptaus
  • Ristisivupyyntöjen väärentäminen
  • Sekasisällön skriptit
  • Tunnistautumisen tai valtuutuksen puutteet
  • Palvelinpuolen koodin suoritusviat
  • REST API -haavoittuvuudet

Palvelin

  • Luvaton komentotulkin käyttö
  • Käyttöoikeuksien korottaminen
  • Etäkoodin suorittaminen

Sovellukset

  • Tunnistautumisen tai valtuutuksen puutteet
  • Paikallisten tietojen tietoturvamurto (ilman roottausta)

Uskomme tiiviiseen yhteistyöhön tietoturvatutkijoiden kanssa ja olemme valmiita jakamaan teknisiä tietoja, kuten API-määrityksiä, lähdekoodia tai infrastruktuurin tietoja, valittujen tutkijoiden kanssa tavoitteena parantaa kaikkien Proton Mailin käyttäjien turvallisuutta. Ota yhteyttä osoitteeseen\u00a0security@proton.me\u00a0saadaksesi lisätietoja.

Hyväksyttävät parannukset

Joskus palkkioita myönnetään parannusehdotuksista, jotka eivät kuulu mihinkään yllä mainituista luokista. Tiimimme arvioi nämä tapauskohtaisesti. Tällaisia ovat esimerkiksi:

  • Palvelimen määritysten parannukset
  • Palomuurimääritykset
  • Parannetut DoS/DDoS-suojaukset
  • Sijainnin tai tietojen paljastuminen

Ei-hyväksyttävät haavoittuvuudet

  • Vanhentuneisiin selaimiin vaikuttavat puutteet (valitettavasti IE6:n tietoturvaongelmat eivät täytä ehtoja)
  • Tietoturvaongelmat, jotka ovat Proton VPN:n uhkamallin ulkopuolella
  • Tietojenkalastelu(uusi ikkuna) tai sosiaaliseen manipulointiin perustuvat hyökkäykset
  • Viat, jotka edellyttävät erittäin epätodennäköisiä käyttäjän toimia
  • WordPressin viat (mutta ilmoita ne WordPressille)
  • Vanhentunut ohjelmisto: emme syystä tai toisesta aina käytä uusimpia ohjelmistoversioita, mutta käytämme ohjelmistoja, jotka on päivitetty täysin
  • Ohjelmistoviat OpenVPN:ssä tai IKEv2:ssa (mutta ilmoita ne niiden tekijöille)

Palkkioiden määrät

Maksamamme palkkion suuruus määritetään tapauskohtaisesti, ja se riippuu suurelta osin ongelman vakavuudesta. Palkkion saaminen edellyttää yleensä sitä, että olet ensimmäinen ongelman ilmoittaja, joskin poikkeuksia tehdään joskus. Alla on karkeat suuntaviivat palkkioista:

  • Enimmäispalkkio: 100 000 USD.
  • Kriittinen vakavuus: 25 000–50 000 USD. Sellaisen haavoittuvuuden löytäminen, joka mahdollistaa palveluympäristön täydellisen ja pysyvän luvattoman hallinnan tai altistaa kaikkien käyttäjien tietojen luottamuksellisuuden tai eheyden vaaralle ilman erityisiä edellytyksiä tai aiempaa pääsyä.
  • Korkea vakavuus: 2 500–25 000 USD. Sellaisen haavoittuvuuden löytäminen, joka johtaa palveluympäristön suuren osan jatkuvaan luvattomaan hallintaan tai merkittävään tietojen luottamuksellisuuden tai eheyden murtoon, joka vaikuttaa laajaan käyttäjäryhmään, ilman erityisiä edellytyksiä tai aiempaa pääsyä, mutta joka ei kuitenkaan vielä yllä palvelun täydelliseen altistamiseen.
  • Keskitasoinen vakavuus: 1 000–2 500 USD. Sellaisen haavoittuvuuden löytäminen, joka mahdollistaa luvattoman hallinnan osassa palveluympäristöä tai altistaa yksittäisen käyttäjän tai pienen ryhmän käyttäjätietojen eheyden tai luottamuksellisuuden. Vaihtoehtoisesti haavoittuvuudet, joilla on laajempi vaikutus ja jotka edellyttävät merkittävää käyttäjän vuorovaikutusta tai tiettyjä edellytyksiä, mutta johtavat silti arkaluonteisten tietojen tai hallintakeinojen paljastumiseen.
  • Matala vakavuus: tapauskohtaisesti, ei oletusarvoisesti rahallista palkkiota. Sellaisen haavoittuvuuden löytäminen, jonka vaikutus on rajallinen tai jonka edellytykset ovat epätodennäköisiä.

Ilmoitusohjeet

Ilmoita ongelmista osoitteeseen security@proton.me. Ilmoituksessa tulee antaa selkeät ohjeet ongelman toistamiseksi ja/tai proof of concept.

Ystävällisin terveisin,
Proton-tiimi