Đảm bảo an toàn cho Proton VPN

Tháng 11 năm 2025: Bài viết này đã cập nhật để phản ánh chương trình tiền thưởng mới nhất. Mức thưởng tối đa đã tăng từ 10.000 USD lên 100.000 USD.

Cũng như với Proton Mail, chúng tôi đã xây dựng Proton VPN với trọng tâm là bảo mật. Hôm nay, chúng tôi ra mắt Chương trình tiền thưởng tìm lỗi nhằm tăng cường hơn nữa bảo mật của Proton VPN.

Khi vận hành một dịch vụ VPN, bảo mật không chỉ cần thiết cho chính các kết nối và giao thức VPN. Bảo mật cũng cần thiết cho hạ tầng máy chủ bên dưới, các trang web và bảng điều khiển, chính các ứng dụng VPN, hệ thống thanh toán và cả cơ sở dữ liệu người dùng. Để bảo vệ đúng cách quyền riêng tư của người dùng, chúng tôi cần bảo vệ mọi khía cạnh của dịch vụ khỏi bị xâm phạm.

Khi xây dựng Proton VPN, chúng tôi đã tận dụng chuyên môn bảo mật thu được từ việc vận hành dịch vụ email bảo mật lớn nhất thế giới(cửa sổ mới). Chúng tôi cũng đã phối hợp với những người đóng góp cho bảo mật của Proton Mail(cửa sổ mới) và cộng đồng rộng lớn hơn để tăng cường mọi khía cạnh của Proton VPN. Gần đây, chúng tôi đã cùng Mazin Ahmed(cửa sổ mới), người đóng góp lâu năm cho bảo mật của Proton Mail, hoàn thành một cuộc kiểm toán bảo mật toàn diện cho Proton VPN và bổ sung thêm các lớp gia cố.

Chương trình tiền thưởng tìm lỗi của chúng tôi cho phép mở rộng công việc mà chúng tôi vẫn làm hằng ngày để bảo vệ người dùng Proton VPN. Vì lý do này, giờ đây khi Proton VPN đã chính thức ra mắt, một trong những việc đầu tiên chúng tôi làm là khởi động Chương trình tiền thưởng tìm lỗi của Proton VPN. Với chương trình này, chúng tôi mời các chuyên gia bảo mật từ khắp nơi trên thế giới thử tìm ra điểm yếu trong Proton VPN, và chúng tôi sẽ trả thù lao (tiền thưởng) cho những sự cố bảo mật được báo cáo cho chúng tôi qua chương trình này. Nếu bạn là nhà nghiên cứu bảo mật, bạn cũng có thể tham gia Chương trình tiền thưởng tìm lỗi của Proton Mail(cửa sổ mới).

Chương trình tiền thưởng tìm lỗi của Proton VPN

Quy tắc

Phạm vi: Chương trình chỉ giới hạn ở các máy chủ và các ứng dụng web, máy tính để bàn và di động do Proton VPN vận hành. Các trang cá nhân của chúng tôi trên Facebook, Twitter, Linkedin, Eventbrite, v.v. không đủ điều kiện. Các trang đủ điều kiện bao gồm:

protonvpn.com
account.protonvpn.com
api.protonvpn.ch [Lưu ý: .ch chứ không phải .com]

Các ứng dụng Proton VPN trên Windows, MacOS, Linux, iOS và Android cũng nằm trong chương trình này.

Đánh giá: Hội đồng đánh giá xác định giải thưởng gồm các nhà phát triển của Proton VPN và Proton Mail, cùng sự hỗ trợ của một hoặc nhiều chuyên gia bên ngoài thuộc nhóm bảo mật của chúng tôi. Người tham gia chương trình đồng ý tôn trọng quyết định cuối cùng của hội đồng đánh giá.

Tiết lộ có trách nhiệm: Chúng tôi đề nghị báo cáo mọi lỗ hổng cho chúng tôi tại security@proton.me. Chúng tôi cho rằng việc tiết lộ lỗ hổng cho bên thứ ba với mục đích không phải là khắc phục lỗi thực sự đi ngược lại tinh thần của chương trình này. Người tham gia đồng ý không tiết lộ những lỗi đã phát hiện cho đến sau khi chúng được khắc phục và phối hợp tiết lộ với nhóm của chúng tôi thông qua ghi chú phát hành để tránh nhầm lẫn.

Kiểm thử có trách nhiệm: Vui lòng không hack tài khoản người dùng, làm hỏng cơ sở dữ liệu hay rò rỉ dữ liệu có thể nhạy cảm. Chúng tôi cũng không khuyến khích việc kiểm thử lỗ hổng làm giảm chất lượng dịch vụ cho người dùng. Nếu còn thắc mắc, hãy liên hệ với Nhóm bảo mật của chúng tôi tại security@proton.me.

Tuân thủ quy tắc: Khi tham gia chương trình này, bạn đồng ý tuân thủ các quy tắc và điều kiện nêu trên. Phải tuân thủ mọi quy tắc để đủ điều kiện nhận giải thưởng.

Lỗ hổng đủ điều kiện

Mọi sự cố trong thiết kế hoặc triển khai gây ảnh hưởng đáng kể đến tính bảo mật hoặc toàn vẹn của dữ liệu người dùng đều có khả năng nằm trong phạm vi chương trình. Điều này bao gồm nhưng không giới hạn ở:

Ứng dụng web

Tập lệnh chéo trang
Giả mạo yêu cầu chéo trang
Tập lệnh nội dung hỗn hợp
Lỗ hổng xác thực hoặc phân quyền
Lỗi thực thi mã phía máy chủ
Lỗ hổng REST API

Máy chủ

Truy cập shell trái phép
Leo thang đặc quyền
Thực thi mã từ xa

Ứng dụng

Lỗ hổng xác thực hoặc phân quyền
Vi phạm bảo mật dữ liệu cục bộ (không cần root thiết bị)

Chúng tôi tin vào việc hợp tác chặt chẽ với các nhà nghiên cứu bảo mật và sẵn sàng chia sẻ những chi tiết kỹ thuật như đặc tả API, mã nguồn hoặc thông tin hạ tầng với các nhà nghiên cứu được chọn, nhằm cải thiện bảo mật cho tất cả người dùng Proton Mail. Vui lòng liên hệ security@proton.me để biết thêm chi tiết.

Cải tiến đủ điều kiện

Đôi khi, tiền thưởng được trao cho những đề xuất cải tiến không thuộc bất kỳ danh mục nào ở trên. Điều này do nhóm của chúng tôi quyết định theo từng trường hợp cụ thể. Những đề xuất này bao gồm:

Cải tiến cấu hình máy chủ
Cấu hình tường lửa
Cải thiện biện pháp phòng chống DoS/DDoS
Tiết lộ đường dẫn/thông tin

Lỗ hổng không đủ điều kiện

Lỗ hổng ảnh hưởng đến các trình duyệt lỗi thời (rất tiếc, các sự cố bảo mật của IE6 không đủ điều kiện)
Sự cố bảo mật nằm ngoài phạm vi mô hình mối đe dọa của Proton VPN
Các cuộc tấn công lừa đảo(cửa sổ mới) hoặc kỹ thuật xã hội
Lỗi đòi hỏi những tương tác người dùng cực kỳ khó xảy ra
Lỗi WordPress (nhưng vui lòng báo cáo những lỗi đó cho WordPress)
Phần mềm lỗi thời – Vì nhiều lý do, chúng tôi không phải lúc nào cũng chạy phiên bản phần mềm mới nhất, nhưng chúng tôi chạy phần mềm đã được vá đầy đủ
Lỗi phần mềm trong OpenVPN hoặc IKEv2 (nhưng vui lòng báo cáo chúng cho tác giả)

Mức thưởng

Mức tiền thưởng chúng tôi trả được quyết định theo từng trường hợp cụ thể và phụ thuộc phần lớn vào mức độ nghiêm trọng của sự cố. Để được trao tiền thưởng, thông thường bạn cần là người đầu tiên báo cáo sự cố, dù đôi khi vẫn có ngoại lệ. Dưới đây là hướng dẫn sơ bộ về tiền thưởng:

Mức thưởng tối đa: 100.000 USD.
Mức độ nghiêm trọng: Nghiêm trọng, 25.000 USD – 50.000 USD. Phát hiện lỗ hổng cho phép kiểm soát trái phép toàn diện và lâu dài môi trường dịch vụ, hoặc xâm phạm tính bảo mật hay toàn vẹn dữ liệu của tất cả người dùng mà không đòi hỏi điều kiện đặc biệt hay quyền truy cập trước.
Mức độ nghiêm trọng: Cao, 2.500 USD – 25.000 USD. Phát hiện lỗ hổng dẫn đến kiểm soát trái phép kéo dài đối với phần lớn môi trường dịch vụ, hoặc vi phạm nghiêm trọng tính bảo mật hay toàn vẹn dữ liệu ảnh hưởng đến một nhóm người dùng rộng, mà không cần điều kiện đặc biệt hay quyền truy cập trước, nhưng vẫn chưa đến mức xâm phạm toàn bộ dịch vụ.
Mức độ nghiêm trọng: Trung bình, 1.000 USD – 2.500 USD . Phát hiện lỗ hổng cho phép kiểm soát trái phép một phần môi trường dịch vụ, hoặc xâm phạm tính toàn vẹn hay bảo mật dữ liệu người dùng của một người dùng hoặc một nhóm nhỏ. Ngoài ra, các lỗ hổng có tác động rộng hơn nhưng đòi hỏi tương tác đáng kể từ người dùng hoặc các điều kiện cụ thể, song vẫn dẫn đến việc lộ dữ liệu hoặc quyền kiểm soát nhạy cảm.
Mức độ nghiêm trọng: Thấp, xét theo từng trường hợp, mặc định không có tiền thưởng . Phát hiện lỗ hổng có tác động hạn chế hoặc với những điều kiện khó xảy ra.

Hướng dẫn báo cáo

Vui lòng báo cáo sự cố đến security@proton.me. Khi báo cáo, cần kèm hướng dẫn rõ ràng về cách tái hiện sự cố và/hoặc bằng chứng khái niệm.

Trân trọng,
Đội ngũ Proton