Política White Hat

Consideramos duplicado el reporte que provenga de la misma causa raíz de un relato anterior — aunque esté descrito con otras palabras, vectores de ataque, endpoints o pruebas de concepto. El criterio es la causa raíz, no el síntoma, la pantalla o el endpoint afectado.

• También es duplicado el reporte sobre una vulnerabilidad que ya habíamos identificado internamente, o que ya estaba en proceso de corrección, en la fecha en que lo recibimos
• Quién llegó primero se define por la fecha y hora de recepción en whitehat@kobana.com.br, según el registro de nuestros servidores de correo — que prevalece sobre cualquier otro indicio de anterioridad
• Pagamos una única recompensa por causa raíz, aunque varias personas reporten el mismo hallazgo
• No estamos obligados a compartir los detalles técnicos, la fecha ni la identidad del reporte anterior con quien llegó después
• A nuestro criterio, y sin que ello siente precedente, podemos conceder una recompensa reducida al reporte duplicado que aporte información materialmente relevante para la corrección

Cada investigador participa bajo un único registro. Antes del pago de cualquier recompensa, sea cual sea su importe — incluidas las ex-gratia y las destinaciones benéficas —, realizamos una verificación de identidad (KYC).

• No se permite mantener ni operar más de un registro, directa o indirectamente, mediante interpósita persona, seudónimo, handle adicional, correo alternativo o persona jurídica bajo tu control
• Solicitamos documento oficial de identidad con foto, comprobante de domicilio de los últimos 90 días y selfie sosteniendo el documento, con rostro y documento visibles en la misma imagen
• Quien actúa como persona jurídica presenta además el contrato o estatuto social y el comprobante de CNPJ, o registro equivalente en el exterior
• La cuenta bancaria o PayPal indicada para el pago debe estar a nombre del propio investigador o de la persona jurídica que haya indicado
• Podemos exigir prueba de vida por videoconferencia (liveness check), con presentación del documento y gestos solicitados en tiempo real
• El KYC se realiza una única vez por registro, puede solicitarse ya en la adhesión y se repite si detectamos divergencias o indicios de duplicidad
• La negativa suspende el pago hasta su subsanación; transcurridos 90 días corridos desde la solicitud sin atenderla, se pierde la recompensa

El programa se construye sobre la confianza mutua. Son actos de mala fe o fraude contra el programa, entre otros:

• Prestar declaración falsa, o presentar documento de identidad, societario, fiscal o bancario falso, adulterado, de un tercero o inconsistente
• Mantener u operar más de un registro en el programa, directamente o mediante interpósita persona
• Acordar con otras personas el envío del mismo hallazgo, o de hallazgos de la misma causa raíz, por más de un investigador para obtener más de una recompensa
• Presentar como propio un relato de autoría de un tercero, o fraccionar deliberadamente un mismo hallazgo en varios reportes
• Fabricar, adulterar o simular evidencias, pruebas de concepto, logs, peticiones o capturas de pantalla
• Inducir a Kobana a error sobre la severidad, el impacto, el alcance o la originalidad del reporte
• Reportar una vulnerabilidad que el propio investigador introdujo o provocó en nuestros sistemas
• Condicionar la entrega de información al pago de un importe superior al ofrecido, o amenazar con divulgarla para obtener una ventaja