Kraken gelooft sterk in de waarde van beveiligingsprofessionals en ontwikkelaars die helpen om onze producten en gebruikers veilig te houden. Kraken heeft een gecoördineerde openbaarmaking van kwetsbaarheden opgezet en moedigt deze aan via ons foutpremieprogramma. Het foutpremieprogramma dient de missie van Kraken door klanten op de markt voor digitale valuta te helpen beschermen.
Door het opsporen van bugs in Kraken-systemen, stem je ermee in om alle gegevens, informatie over kwetsbaarheden, je onderzoek en communicatie met Kraken strikt vertrouwelijk te houden totdat Kraken het probleem heeft aangepakt en toestemming heeft gegeven voor openbaarmaking.
Wanneer aan de vereisten van dit beleid wordt voldaan, stemt Kraken ermee in geen juridische stappen te ondernemen voor beveiligingsonderzoek dat is uitgevoerd volgens alle gepubliceerde foutpremiebeleidsregels van Kraken, inclusief te goeder trouw, toevallige schendingen.
Vermijd opzettelijke privacyschendingen door waar mogelijk testaccounts te maken. Mocht je persoonlijk identificeerbare informatie ('PII') of andere gevoelige gegevens tegenkomen voor accounts waarvoor je geen uitdrukkelijke schriftelijke toestemming hebt van de eigenaar van het account om deze te gebruiken om je bevindingen te valideren, stop dan onmiddellijk met de toegang tot deze gegevens en meld het probleem aan Kraken met een beschrijving van de gegevens, niet de gegevens zelf.
In overeenstemming met de regelgeving voor gegevensbescherming en ons privacybeleid, dien je:
- Geen PII van andere klanten op te slaan of door te geven. Als je toevallig PII van een klant vastlegt, meld dit dan onmiddellijk aan Kraken en vernietig vervolgens alle kopieën van PII die niet van jou zijn.
- Het verzamelen van gegevens en de toegang daartoe tijdens je onderzoek tot een minimum te beperken. Alleen gegevens te verzamelen en bewaren die absoluut noodzakelijk is om de kwetsbaarheid aan te tonen en te melden.
- Onmiddellijk en veilig alle verzamelde gegevens te verwijderen zodra de melding is ingediend en Kraken de ontvangst heeft bevestigd.
- Geen kwetsbaarheden of bijbehorende informatie bekend te maken aan derden zonder de uitdrukkelijke schriftelijke toestemming van Kraken. Dit omvat, maar is niet beperkt tot, sociale media, andere bedrijven of de pers.
- Als u een gegevenslek of de locatie van een gegevensopslagplaats meldt in plaats van een beveiligingslek, geef dan de locatie van de gegevens en open deze niet verder, noch deel de locatie van de gegevens met anderen.
Een inzending van een foutpremie mag nooit bedreigingen of pogingen tot afpersing bevatten. We staan open voor het betalen van premies voor legitieme bevindingen, maar verzoeken om losgeld komen niet in aanmerking voor betaling. Het niet vrijgeven van informatie over de kwetsbaarheid of het op een andere manier belemmeren van de mogelijkheid om de kwetsbaarheid op te lossen totdat aan andere eisen is voldaan, wordt bijvoorbeeld beschouwd als een eis om losgeld. We kunnen wettelijk verplicht zijn of vrijwillig besluiten om inzendingen van een foutpremie met eisen om losgeld, te rapporteren aan de autoriteiten.
We zijn van mening dat activiteiten die worden uitgevoerd in overeenstemming met dit beleid geautoriseerd gedrag vormen onder de Computer Fraud and Abuse Act (CFAA), de Digital Millennium Copyright Act (DMCA) en toepasselijke antihackingwetten zoals Cal. Penal Code 503(c). We zullen geen claim indienen tegen onderzoekers voor het omzeilen van de technologische maatregelen die we hebben gebruikt om de applicaties binnen het bereik van het foutpremieprogramma te beschermen. Het volgen van dit beleid betekent echter niet dat Kraken of enige andere individuele organisatie of overheid immuniteit kan verlenen tegen wereldwijde wetgeving. Het is de verantwoordelijkheid van individuele beveiligingsonderzoekers om alle toepasselijke lokale en internationale wetgeving met betrekking tot antihacking, gegevens en privacy en exportcontroles te begrijpen en na te leven. Als een derde een rechtszaak tegen jou aanspant en je hield je aan de voorwaarden in dit beleid, dan zal Kraken de betreffende rechtshandhavingsinstanties of civiele aanklagers informeren dat jouw onderzoeksactiviteiten, naar ons beste weten, werden uitgevoerd overeenkomstig de voorwaarden van dit programma.
Het is vereist dat elke onderzoeker ons een kennisgeving stuurt voordat de onderzoeker zich bezighoudt met gedrag dat mogelijk in strijd is met of niet wordt behandeld in dit beleid. We verwelkomen suggesties voor beleidsverduidelijkingen die onderzoekers helpen om hun onderzoek en rapportage met vertrouwen uit te voeren.