01
ご自身のアカウントのみ
ご自身が所有する、または明示的に利用を許可されたアカウント、鍵、データに対してのみ検証してください。問題を示せた時点で停止してください。
- 01
対象の構成要素
影響を受けるURL、インターフェース、コントラクト、クライアントのリリース、または仕様の該当箇所と、わかる場合はそのバージョン。
- 02
影響
攻撃者が達成できる可能性のあること――データの読み取り、資産の移動、状態の変更、上限の回避――と、それが生じる条件。
- 03
再現方法
ご自身のアカウントとテストデータを用いて問題を再現するための最小限の手順。有用な場合は、無害な検証コード（PoC）も。
- 04
連絡方法
追加のご質問がある場合の連絡方法と、問題の開示時にお名前を記載してよいかどうか。
検証に関する指針
誰にも害を与えずに検証する。
02
本番環境への攻撃コードの実行禁止
本番システムを対象とする攻撃コードを実行または含めないでください。仕組みを説明し、検証コードは無害な内容にとどめてください。
03
個人データの取得禁止
他者のデータにアクセス、複製、変更、保持しないでください。遭遇した場合は直ちに停止し、そのデータ自体は報告に含めず、見た内容のみを記述してください。
04
サービス妨害の禁止
他の利用者のサービスを低下させないでください。サービス拒否攻撃、スパム、ソーシャルエンジニアリング、物理的な侵入は、許容される検証の範囲外です。
対象範囲
このポリシーが対象とする範囲。
発見した内容が対象範囲に含まれるか不明な場合は、報告してお尋ねください。
対象範囲内
- orbitraone.com、その各言語版ページ、フォーム、エンドポイント
- 同意処理を含む、利用受付とお問い合わせのフロー
- NexusSDKのクライアントライブラリとドキュメントのコードサンプル
- Orbitra L1のプロトコル仕様とノードクライアントのリリース
- NexusWASMのサンドボックス分離とEVM Capsuleのゲートウェイ制御
- Q-Switchの署名スイートを含む暗号実装
対象範囲外
- サービス拒否攻撃および大量通信による攻撃
- 人や施設を対象とするソーシャルエンジニアリング、フィッシング、物理的な攻撃
- 実際の影響が示されていない、自動スキャナーの出力のみの報告
- 悪用可能な問題を伴わない、ヘッダーの欠落やベストプラクティスの提案
- 被害者側の侵害済みデバイスやロック解除済みアカウントを前提とする発見
- 第三者が運営するサービス――それぞれの運営者へご報告ください
- ブランドを模倣したサイトや詐欺サイト――お問い合わせページからご報告ください
対応の流れ
報告後に何が起こるか。
- 01
受領確認
報告が到着したことを確認し、以後のやり取りに使用する参照番号をお伝えします。
- 02
評価
問題を再現し、深刻度と影響を受ける構成要素を評価し、その評価結果をお伝えします。
- 03
修正
深刻度に応じて優先順位を付け、修正を開発・検証・リリースし、作業の進捗をお伝えします。
- 04
開示の調整
公開する場合の時期と内容について合意し、ご同意をいただいた上で、貢献者としてお名前を記載します。
複雑な問題の修正には、確認よりも時間がかかることがあります。開示について合意するまで、詳細を非公開にしてください。
セーフハーバー
本ポリシーに基づく誠実な調査は、許可された行為です。
上記の対象範囲および規則に従い、人、データ、サービスの可用性への損害を避け、速やかにかつ秘密を保って報告する場合、当社はお客様の調査を許可されたものとして扱い、そのことについて法的措置を取ることはありません。ある行為が許可されているかどうか不明な場合は、検証の前にhello@orbitraone.com宛にお尋ねください。
報告を送信
セキュリティチームに報告を送る。
このフォーム、またはhello@orbitraone.com宛にご連絡ください。問題を記述し、本番システムを対象とする攻撃コードや個人データを添付しないでください。
- 01報告には参照番号を付けて受領確認をお送りします。
- 02問題が再現された時点で、評価結果を共有します。
- 03公開に先立って、開示の時期について合意します。
- 04パスワード、秘密鍵、他者のデータは絶対に含めないでください。