• Kraken encourage la divulgation responsable des failles de sécurité par le biais de son programme Bug Bounty.
• Les chercheurs doivent suivre la politique écrite. Cette politique est non négociable.
• Règles essentielles :
  • Agissez de bonne foi et évitez les violations de la politique.
  • Ne faites pas plus que ce qui est nécessaire pour prouver une vulnérabilité. 
  • Ne formulez pas de menaces ou de demandes de rançon.
  • Signalez les vulnérabilités, y compris les instructions et la preuve de l’exploitation du concept, dès qu’elles sont découvertes et validées.
• Les chercheurs sont tenus de respecter toutes les lois applicables.
• Toute tentative de subversion ou de violation de notre politique entraînera l’inéligibilité immédiate à ce programme. Les menaces ou les tentatives d’extorsion peuvent être transmises aux autorités chargées de l’application de la loi.
• En cas de doute, veuillez contacter [email protected] pour obtenir des éclaircissements..

Kraken attache beaucoup d’importance aux professionnels de la sécurité et aux développeurs qui aident à assurer la sécurité de nos produits et nos utilisateurs. Kraken a mis en place et encourage la divulgation coordonnée des vulnérabilités (CVD) via notre programme Bug Bounty. Le programme Bug Bounty sert la mission de Kraken en aidant à protéger les clients sur le marché des devises numériques.

En recherchant des bugs dans les systèmes de Kraken, vous acceptez de ne divulguer aucune information concernant les vulnérabilités, vos recherches et vos communications avec Kraken jusqu’à ce que Kraken ait réglé le problème et autorisé leur divulgation. 

Sous réserve du respect des exigences de la présente politique, Kraken s'engage à ne pas intenter d'action en justice pour toute recherche de sécurité menée conformément aux politiques publiées du programme Bug Bounty de Kraken, y compris les violations accidentelles commises de bonne foi. 

Veuillez éviter les violations délibérées de la confidentialité en créant des comptes test chaque fois que cela est possible. Si vous rencontrez des informations personnelles identifiables ("PII") ou d’autres données sensibles pour des comptes que leurs titulaires ne vous autorisent pas expressément, par écrit, à utiliser pour valider vos conclusions, veuillez cesser immédiatement d’accéder à ces données et signaler le problème à Kraken avec une description des PII ou des autres données sensibles, et non les données elles-mêmes.

Conformément à la réglementation sur la protection des données et à nos politiques de confidentialité, vous êtes tenu :

• Ne pas stocker ni transmettre les données personnelles d'autres clients. Si vous veniez à capter des données personnelles d'un client, signalez-le immédiatement à Kraken, puis détruisez toutes les copies de données personnelles qui ne vous appartiennent pas. 
• Faites en sorte de limiter au maximum la récupération et la consultation de données au cours de votre recherche. Ne collectez et ne conservez que les informations absolument nécessaires à la démonstration et au signalement de la vulnérabilité. 
• Supprimez sans délai et définitivement les données collectées après avoir envoyé votre rapport et reçu confirmation de sa réception de Kraken.
• Ne divulguez aucune information sur une quelconque vulnérabilité à des tiers sans l’autorisation écrite expresse de Kraken. Cette interdiction s’applique, sans s’y limiter, aux réseaux sociaux, d’autres entreprises ou la presse.
• Si vous signalez une violation de données ou l’emplacement d’un référentiel de données au lieu d’une vulnérabilité liée à la sécurité, veuillez indiquer l’emplacement des données et ne plus y accéder, ni partager leur emplacement avec d’autres personnes.

Une demande de bug bounty ne doit à aucun moment contenir de menaces ou de tentatives d’extorsion. Nous sommes disposés à payer des bug bounties pour les découvertes légitimes, mais les demandes de rançon ne feront l’objet d’aucun versement. À titre d’exemple, conditionner la divulgation d’informations concernant une vulnérabilité ou le moyen de la régler sera considéré comme une demande de rançon. Nous pouvons être tenus par la loi, ou décider volontairement, de signaler aux autorités toute soumission au programme bug bounty contenant des demandes de rançon. 

Nous considérons que les activités menées conformément à la présente politique constituent une conduite « autorisée » au sens du Computer Fraud and Abuse Act (CFAA), du Digital Millennium Copyright Act (DMCA) et des lois anti-piratage applicables telles que le Cal. Penal Code 503(c). Nous ne poursuivrons pas en justice les chercheurs qui auront contourné les mesures technologiques que nous avons utilisées pour protéger les applications incluses dans le programme Bug Bounty. Cependant, le respect de cette politique ne signifie pas que Kraken, ni aucune autre organisation ou tout autre gouvernement individuel, peut accorder l’immunité face aux lois internationales. Il relève de la responsabilité des chercheurs en sécurité individuels de comprendre et de respecter toutes les lois locales et internationales applicables en matière de lutte contre le piratage, de protection des données et de la vie privée et de contrôle des exportations. Si un tiers intente une action en justice à votre encontre alors que vous vous conformiez aux conditions de la présente politique, Kraken informera les autorités judiciaires compétentes ou les demandeurs civils que, à notre connaissance, vos activités de recherche ont été menées conformément aux conditions générales de ce programme.

Chaque chercheur est tenu de nous faire parvenir une notification avant de s’engager dans une conduite qui pourrait être incompatible avec ou non traitée par la présente politique. Nous apprécions les suggestions de clarification des politiques qui aident les chercheurs à mener leurs recherches et à établir leurs rapports en toute confiance.

Toutes les soumissions de primes sont notées par Kraken et payées en fonction de la note de vulnérabilité. Tous les paiements seront effectués en BTC sur votre compte Kraken et sont définis en tant que directive et peuvent faire l’objet de modifications.

• Tous les rapports de bugs doivent être adressés à [email protected], seul contact officiel de ce programme. Merci de ne pas envoyer d’informations sur les vulnérabilités sur des sites externes. Les sites et portails externes ne sont ni officiels ni approuvés par Kraken.
• Pour recevoir des paiements bug bounty, vous devez :
  • Vous inscrire au niveau Intermédiaire. Voir : Créer un compte – https://www.kraken.com/sign-up
  • Posséder un compte ACTIF
  • Soumettre des documents pour vérification. Voir également : https://support.kraken.com/hc/en-us/articles/360000672203-Document-requirements-for-verification
• La demande de paiement ou d’autres signes de reconnaissance en échange de détails sur la vulnérabilité entraînera l’inéligibilité immédiate des paiements de primes. Toute rétention de détails sur la vulnérabilité entraînera elle aussi l’inéligibilité immédiate des paiements de primes.
• Vous devez expliquer en détail comment la vulnérabilité peut être constatée et fournir une preuve de concept. 
• Si nous ne pouvons pas reproduire vos résultats, votre rapport ne pourra pas être rémunéré. N’utilisez pas plus que le nécessaire pour démontrer l’existence d’une faille de sécurité et rendez immédiatement tout actif que vous auriez réussi à récupérer.
• Il est interdit de révéler une vulnérabilité à toute autre personne.
• Toute tentative de contourner les procédures décrites dans la présente politique entraînera l'inéligibilité immédiate au versement de récompenses. 
• Indiquez votre adresse Bitcoin (BTC) pour paiement. Toutes les récompenses seront attribuées en Bitcoin.
• Les paiements minimums sont définis ci-dessous. Tous les versements peuvent être modifiés à la discrétion de Kraken.
• Le versement minimum correspond à l'équivalent en Bitcoin (BTC) de 500 USD.

Les étapes ci-dessous sont suivies pour traiter une demande de Bug Bounty :

1. Le rapport est envoyé à la boîte aux lettres de Bug Bounty

2. La sécurité Kraken accuse réception de la demande (SLA 1 jour ouvrable)

3. La sécurité Kraken trie la demande (SLA 10 jours ouvrables)

4. La sécurité Kraken envoie une réponse complète. Si une vulnérabilité est confirmée, la notification inclut le niveau de gravité et le montant de la récompense (nous demanderons une adresse BTC)

5. Pour les failles de sécurité, Kraken envoie la récompense (SLA 14 jours ouvrables)

Si vous souhaitez chiffrer votre envoi Bug Bounty pour une sécurité renforcée, vous pouvez utiliser notre clé publique PGP. Importez la clé dans votre client PGP, chiffrez votre rapport, puis envoyez-le à [email protected]. Les envois sans chiffrement sont également acceptés. Comment importer notre clé publique PGP (facultatif / protection supplémentaire) :

• Téléchargez ou copiez le bloc de clé publique en utilisant le lien Chiffrement à l’adresse https://www.kraken.com/.well-known/security.txt (téléchargez le fichier https://www.kraken.com/.well-known/pgp-key.txt ou copiez simplement le texte commençant par -----BEGIN PGP PUBLIC KEY BLOCK-----)
• Ouvrez votre client PGP ou GPG (par exemple, GnuPG en ligne de commande, le gestionnaire de clés OpenPGP de Thunderbird, ou GNOME Seahorse / "Mots de passe et clés").
• Utilisez la fonction "Importer une clé" du client pour ajouter la clé à votre trousseau.
• (Facultatif) Procédez à la vérification de l’empreinte de la clé afin de garantir son authenticité.

• 26 rapports récompensés au cours de l’année passée
• 434 rapports soumis au cours de l'année écoulée
• 3 962 $ de récompense moyenne au cours de l'année écoulée

Découvrez ci-dessous certains des chercheurs récompensés par le programme Bug Bounty de Kraken.

Critique

Les problèmes de gravité critique présentent un risque direct et immédiat pour un grand nombre de nos utilisateurs ou pour Kraken elle-même. Ils affectent souvent des composants de base/de niveau relativement bas dans l’un de nos groupes d’applications ou dans notre infrastructure. Par exemple :

• exécution d’un code/d’une commande arbitraire sur un serveur de notre réseau de production.
• requêtes arbitraires sur une base de données de production.
• contournement de notre processus de connexion, soit par mot de passe, soit par authentification à deux facteurs.
• accès aux données sensibles des utilisateurs de production ou accès aux systèmes de production internes.

Élevé

Les problèmes de gravité élevée permettent à une personne mal intentionnée de lire ou de modifier des données hautement sensibles auxquelles elle n’est pas autorisée à accéder. Ils sont généralement plus restreints que les problèmes critiques, même s’ils peuvent faire bénéficier une personne mal intentionnée d’un accès étendu. Par exemple :

• XSS contournant la CSP
• Découverte de données utilisateur sensibles dans une ressource avec exposition publique
• Accès à un système non critique auquel un compte d’utilisateur final ne devrait pas avoir accès

Moyenne

Les problèmes de gravité moyenne permettent à une personne mal intentionnée de lire ou de modifier un volume limité de données auxquelles elle n’est pas autorisée à accéder. Ils donnent généralement accès à des informations moins sensibles que les problèmes de gravité élevée. Par exemple :

• La divulgation d’informations non sensibles à partir d’un système de production auquel l’utilisateur ne devrait pas avoir accès
• XSS qui ne contourne pas CSP ou n’exécute pas d’actions sensibles dans la session d’un autre utilisateur
• CSRF pour les actions à risque faible

Bas

Les problèmes de faible gravité permettent à une personne mal intentionnée d’accéder à des volumes extrêmement limités de données. Ils peuvent enfreindre une attente quant à la façon dont quelque chose est censé fonctionner, mais ne permettent pratiquement pas d’escalade des privilèges ou de capacité à déclencher un comportement indésirable par une personne mal intentionnée. Par exemple :

• apparition de pages d’erreur détaillées ou de debug sans preuve d’exploitabilité ou obtention d’informations sensibles.

Inéligibilité

Les rapports qui ne nous intéressent pas et qui ne sont pas éligibles à la récompense comprennent :

• Vulnérabilités sur les sites hébergés par des tiers (support.kraken.com, etc.), à moins qu’elles n’entraînent une vulnérabilité sur le site Internet principal. Vulnérabilités et bugs sur le blog Kraken (blog.kraken.com).
• Vulnérabilités dépendant d’attaques physiques, d’ingénierie sociale, de spamming, d’attaques DDOS, etc.
• Vulnérabilités affectant des navigateurs obsolètes ou non corrigés.
• Vulnérabilités dans des applications tierces qui utilisent l'API de Kraken.
• Vulnérabilités divulguées publiquement dans des bibliothèques tierces ou la technologie utilisée dans les produits, services ou infrastructures Kraken moins de 30 jours après la divulgation publique du problème.
• Vulnérabilités qui ont été rendues publiques avant que Kraken ne publie un correctif détaillé.
• Vulnérabilités déjà connues de nous ou déjà signalées par autrui (la récompense va au premier déclarant).
• Problèmes non reproductibles.
• Vulnérabilités nécessitant un niveau improbable d’interaction avec l’utilisateur.
• Vulnérabilités nécessitant un root/jailbreak sur mobile.
• En-têtes de sécurité manquants sans preuve d’exploitabilité.
• Suites TLS Cipher proposées.
• Suggestions quant aux meilleures pratiques.
• Affichage de la version du logiciel.
• Tout rapport sans instructions détaillées ni preuve d’exploitation du concept joint.
• Problèmes sur lesquels nous ne pouvons raisonnablement pas agir, comme ceux liés à des spécifications techniques que Kraken doit mettre en œuvre pour se conformer à ces normes.
• Le résultat des outils/scanners automatisés ou les rapports générés par IA.
• Problèmes sans aucun impact sur la sécurité.

Problèmes non liés à la sécurité

Vous pouvez nous faire part des problèmes non liés à la sécurité à l’adresse https://support.kraken.com.