漏洞赏金计划

我们的奖励基于漏洞的严重程度。HackerOne 使用 CVSS 3.0（通用漏洞评分标准版）来计算严重程度。但请注意，奖励决定由 MPCVault 自行裁量。由于存在补偿性控制和特定上下文环境，某些问题可能会被评为较低的严重程度。表中显示的金额应视为每个严重程度级别的最高金额，不过 MPCVault 可能会酌情发放奖金。

MPCVault 漏洞研究计划 (VRP) - 计划政策

前言

在 MPCVault，我们非常重视安全和隐私。如果您认为发现了影响任何 MPCVault 产品或服务的安全漏洞，请向我们报告。您可以通过发送电子邮件至 security@mpcvault.com 来报告漏洞。属于 MPCVault 漏洞研究计划 (VRP) 范围内的报告也有资格获得奖励。我们感谢您在帮助保护客户信任和提高 MPCVault 安全性方面所做出的努力。

谁可以参与本计划

发现 MPCVault 产品或服务中潜在安全发现的 MPCVault 客户和安全研究人员可以向 VRP 计划报告。MPCVault 员工和承包商以及他们的直系亲属被严格禁止参与公开漏洞赏金计划，或与外部安全研究人员分享信息以绕过这一限制（在这种情况下，所有相关方均不符合本计划的参与资格）。

VRP 计划的运作方式

• 我们鼓励安全研究人员和 MPCVault 的客户报告任何影响 MPCVault 产品和服务信息安全状况的行为。

• 如果您正在进行研究，您必须使用自己的账户，并且无权访问或以其他方式与他人的账户或数据进行交互。如果您在测试期间发现了一个可能使您能够绕过身份验证控制并获取另一个账户访问权限的漏洞，您应当报告该漏洞，但不应对另一个账户或其数据采取进一步行动。

• 请详细记录您的发现，提供复现步骤，并将报告发送给我们。

  • 包含完整漏洞细节（包括截图或视频）的报告对于快速响应至关重要。

• 我们将与您联系以确认收到您的报告，并追踪您的步骤以复现您的研究。

• 我们将与受影响的团队合作验证该报告。

• 我们将对符合条件的发现发放赏金。要获得奖励资格，报告必须符合本政策的所有部分，并且您必须是第一个向我们报告该问题的人。您必须年满 18 岁（含）以上才有资格获得奖励。

• 我们将向您通知修复进度，并可能就问题或澄清进行联系。如果我们需要复现和调查报告，您必须能够提供额外的信息。

• 我们将与受影响的团队合作进行必要的改进和修复。

• 定期提交高质量发现的优秀研究人员可以被加入到 MPCVault 的专属计划（仅限受邀研究人员）。

范围内的服务和产品

符合赏金资格的发现仅限于以下市场和移动端 App：

（注意：请查看 Scope 区域以获取最新范围内资产的完整详细信息）

• https://mpcvault.com

• https://console.mpcvault.com

• MPCVault Android 和 iOS 应用

您未被授权测试 MPCVault 漏洞研究计划范围之外的任何资产、域名或 IP 地址。若通过其他途径获知范围外漏洞，个人可以提交该安全发现供我们审查。如果研究人员无法证明对符合赏金资格的资产产生的影响，则该发现将不被考虑给予奖励。

对于范围内服务和产品中零日漏洞（安全领域此前未知的漏洞）的报告，如果报告提供了有助于 MPCVault 安全团队进行修复工作的重大见解，或者该漏洞此前未被我们自己漏洞响应计划的其他研究人员发现，我们将酌情给予奖励。

法律避风港

对于真诚努力遵守计划政策或任何意外、善意违反本政策的行为，MPCVault 不会提起任何法律诉讼。这包括根据《数字千年版权法》（DMCA）提出的、因规避保障本政策下符合条件的服务和应用程序的技术措施而产生的任何索赔。

只要您遵守本政策：

我们将与您联系以确认收到您的报告，并追踪您的步骤以复现您的研究。

• 根据《计算机欺诈与滥用法》及相关法律，我们认为您的安全研究是“被授权的”。此项有限授权并不授予您访问公司数据或他人账户的权限。

• 出于在本政策下进行安全研究的有限目的，我们特此豁免适用服务条款和可接受使用政策中限制您按照本政策条款参与本计划的任何规定。

请勿进行任何非法或不道德的行为。您有责任遵守当地法律、限制、法规等。

为了保护您的隐私，除非收到法律诉讼程序或为应对违反本政策的行为，否则我们不会：

• 向第三方分享您的个人身份信息 （PII）

• 未经您的许可分享您的研究成果

• 未经您的许可分享您的 HackerOne 积分或参与情况

如果您的账户因漏洞研究活动而被封禁或锁定

• 请在登录 MPCVault 账户时按照屏幕上的说明进行恢复

• 请准备好最近的银行卡对账单以证明所有权

• 账户通常会在 24 小时内恢复

研究指南

请参考 HackerOne 关于撰写高质量报告的指南：

• https://docs.hackerone.com/hackers/quality-reports.html

• https://www.hacker101.com/sessions/good_reports

负责任的披露政策

感谢您与我们共同支持道德和负责任的披露。参与本计划即表示您同意不向任何一方公开或私下分享您的发现细节或描述。请勿威胁或试图向 MPCVault 勒索。MPCVault 致力于及时修复您的发现，并对相关问题给予迅速回复。

不符合条件的漏洞

• 子域名接管

• 点击劫持

• Self XSS

• 电子邮件欺骗 - SPF 记录配置错误

范围外问题

• 存在其他缓解控制措施的安全实践，例如缺失安全标头等

• 社会工程、钓鱼攻击

• 物理攻击

• Cookie 属性缺失

• 影响极小的 CSRF，例如登录 CSRF、注销 CSRF 等

• 内容欺骗

• 堆栈追踪、路径泄露、目录列表

• 存在其他缓解控制措施的 SSL/TLS 控制

• Banner 信息获取

• CSV 注入

• 反射型文件下载

• 关于旧版浏览器的报告

• 关于范围内移动端 App已过期版本/构建版本的报告

• DOS/DDOS

• 无证明显著影响的主机标头注入

• 扫描器输出

• 第三方产品上的漏洞

• 用户枚举

• 密码复杂度不足

• HTTP Trace 方法