An toàn thông tin & Báo cáo lỗ hổng

LRAS Internal Portal giữ hồ sơ cá nhân của cả trăm thành viên. Bảo vệ số dữ liệu đó là trách nhiệm của CLB, và một phần của trách nhiệm đó là làm cho việc báo lỗi trở nên dễ dàng.

1.1 — Chúng tôi sẽ làm gì

• Xác nhận đã nhận báo cáo của bạn và cho biết đang xử lý.
• Đánh giá mức độ nghiêm trọng và trao đổi lại với bạn về kết luận.
• Thông báo cho bạn khi lỗ hổng đã được khắc phục.
• Ghi nhận đóng góp của bạn, nếu bạn muốn được nêu tên.

1.2 — Chúng tôi mong bạn làm gì

• Báo cho CLB trước, và cho CLB thời gian hợp lý để khắc phục trước khi công bố ở bất kỳ đâu.
• Chỉ dùng đúng mức truy cập cần thiết để chứng minh vấn đề, rồi dừng lại.
• Không xem, sao chép, sửa hay xoá dữ liệu của người khác.
• Giữ kín nội dung lỗ hổng cho tới khi CLB xác nhận đã vá.

Gửi tới security@lras.club — kênh riêng của Ban Công nghệ dành cho báo cáo lỗ hổng. Đây là địa chỉ duy nhất nên dùng cho việc này; kênh hỗ trợ thường có nhiều người đọc hơn mức cần thiết cho một lỗ hổng chưa vá.

2.1 — Một báo cáo tốt gồm những gì

• Mô tả ngắn: một câu nói rõ vấn đề là gì.
• Đường dẫn và tài khoản: trang nào, bạn đang đăng nhập với vai trò gì.
• Các bước tái hiện: đánh số theo thứ tự, đủ để người khác làm lại được.
• Kết quả quan sát được so với kết quả đáng lẽ phải có.
• Ảnh chụp màn hình, đã che phần dữ liệu cá nhân của người khác.
• Tác động bạn cho là có: ai bị ảnh hưởng và ở mức nào.

2.2 — Đừng gửi ở đâu

Không đăng lỗ hổng lên nhóm chat chung của CLB, không đăng lên mạng xã hội, không mở issue công khai. Một lỗ hổng chưa vá được nói ở nơi đông người là một lỗ hổng vừa được phát cho tất cả mọi người — và việc đăng tải đó cũng vi phạm §5.6 Nội quy về phát ngôn và mạng xã hội.

2.3 — Nếu bạn đã lỡ nhìn thấy dữ liệu người khác

Dừng thao tác ngay, không tải về, không chụp lại nhiều hơn mức cần để chứng minh, và nói rõ trong báo cáo rằng bạn đã thấy gì. Trung thực ở bước này là điều kiện để §5 áp dụng cho bạn.

3.1 — Trong phạm vi

• LRAS Internal Portal — trang đăng nhập, các trang chính sách công khai và toàn bộ khu vực nội bộ.
• Lỗi phân quyền: đọc hoặc sửa được dữ liệu ngoài phạm vi vai trò của bạn.
• Lỗi xác thực và quản lý phiên đăng nhập.
• Chèn mã (SQL, XSS, chèn lệnh), lỗi xử lý tệp tải lên.
• Rò rỉ dữ liệu cá nhân của thành viên.

3.2 — Ngoài phạm vi

• Hệ thống và dịch vụ của Nhà trường — hãy báo cho bộ phận phụ trách CNTT của trường.
• Dịch vụ của bên thứ ba (Google, nhà cung cấp hạ tầng, dịch vụ gửi thư) — hãy báo trực tiếp cho họ.
• Tài khoản mạng xã hội của CLB.
• Báo cáo chỉ là kết quả quét tự động, không kèm phân tích tác động thực tế.
• Vấn đề đòi hỏi quyền quản trị máy tính của nạn nhân hoặc kỹ thuật lừa đảo con người.

Bạn được phép thử trên chính tài khoản của mình. Những việc dưới đây thì không, kể cả khi mục đích là để chứng minh một lỗ hổng.

4.1 — Nghiêm cấm

• Tấn công từ chối dịch vụ (DoS/DDoS) hoặc bất kỳ hình thức dò quét gây tải nặng nào lên hệ thống.
• Truy cập tài khoản hoặc dữ liệu của người khác — kể cả khi lỗ hổng cho phép, hãy dừng ngay khi đã đủ chứng minh.
• Dò mật khẩu, thử lại danh sách mật khẩu rò rỉ, hoặc bất kỳ hình thức đăng nhập bằng thông tin không phải của bạn.
• Sửa, xoá hoặc phá hủy dữ liệu; tạo dữ liệu rác trên môi trường đang chạy thật.
• Kỹ thuật lừa đảo con người — giả mạo danh tính, gửi email lừa thành viên khác, tấn công vật lý vào phòng Lab.
• Tống tiền — đòi tiền hoặc lợi ích để đổi lấy việc không công bố.

4.2 — Hậu quả khi vượt quá phạm vi

Vượt ra ngoài các quy tắc trên không còn là nghiên cứu thiện chí. Trường hợp đó được xử lý theo §6.2 Nội quy về vi phạm nghiêm trọng, và nếu có dấu hiệu vi phạm pháp luật, Ban Chủ nhiệm sẽ báo cáo lên Nhà trường theo §9.

Điều khoản này tồn tại vì Nội quy §6.2 coi việc truy cập trái phép là vi phạm nghiêm trọng — và nếu không có ngoại lệ rõ ràng, người trung thực sẽ chọn im lặng.

5.1 — Nội dung cam kết

Ban Chủ nhiệm cam kết không áp dụng hình thức kỷ luật nào, và không coi là vi phạm §4 hay §6 Nội quy, đối với hoạt động nghiên cứu bảo mật thoả mãn đồng thời các điều kiện tại §5.2.

5.2 — Điều kiện áp dụng

• Bạn tuân thủ quy tắc kiểm thử tại §4 và không vượt quá phạm vi tại §3.
• Bạn dừng lại ngay khi đã đủ chứng minh vấn đề, không đi sâu thêm.
• Bạn báo cáo cho CLB trong thời gian sớm nhất có thể.
• Bạn không lan truyền lỗ hổng ra ngoài trước khi CLB xác nhận đã vá.
• Bạn không gây thiệt hại cho dữ liệu, hệ thống hoặc người khác.

5.3 — Trường hợp vô tình phát hiện

Nếu bạn không hề chủ động tìm lỗi mà chỉ tình cờ gặp — ví dụ bấm nhầm một đường dẫn và thấy dữ liệu của người khác — cam kết này vẫn áp dụng, miễn là bạn dừng lại và báo cáo thay vì tiếp tục xem.

Đây là những mốc Ban Công nghệ cam kết thực hiện, không phải số liệu đo được. CLB do sinh viên vận hành; nếu một mốc bị lỡ, chúng tôi sẽ nói cho bạn biết lý do thay vì im lặng.

6.1 — Xác nhận đã nhận

Trong vòng 24 giờ kể từ khi báo cáo được gửi tới kênh đúng.

6.2 — Kết luận đánh giá

Trong vòng 5 ngày làm việc: xác nhận có phải lỗ hổng hay không, và mức độ nghiêm trọng.

LRAS là câu lạc bộ sinh viên và không có ngân sách thưởng tiền cho báo cáo lỗ hổng. Điều CLB có thể trao là sự ghi nhận, và CLB trao một cách nghiêm túc.

7.1 — Bảng vinh danh Contributor

Người báo cáo một lỗ hổng đã được xác nhận và khắc phục sẽ được ghi tên vào bảng vinh danh của CLB, kèm mức độ nghiêm trọng và thời điểm — trừ khi bạn muốn ẩn danh. Bạn được quyền chọn tên hiển thị.

7.2 — Ghi nhận cho thành viên LRAS

Với thành viên đang sinh hoạt, một báo cáo có giá trị được tính là đóng góp chuyên môn trong kỳ đánh giá theo §8.1 Nội quy, ở tiêu chí hiệu quả đóng góp.

7.3 — Xác nhận bằng văn bản

Nếu bạn cần dẫn chứng cho hồ sơ cá nhân hoặc CV, Ban Chủ nhiệm có thể cấp thư xác nhận đóng góp. Việc mô tả lỗ hổng ra bên ngoài vẫn tuân theo §4.3 Nội quy: ghi rõ bối cảnh LRAS và được Chủ nhiệm đồng ý bằng văn bản trước khi công bố.