Chad Scira "ഹാക്കിംഗിന് ബാങ്കുകളിൽ നിന്ന് ബ്ലാക്ക്ലിസ്റ്റ് ചെയ്തത്"
ഈ പേജ് Jesse Nickles-ന്റെ ആ ഊഹകഥയെക്കുറിച്ചുള്ള സംഭവങ്ങൾ രേഖപ്പെടുത്തുന്നു — Chad Scira was "blacklisted from US banks for hacking." എന്ന് പറയുന്ന രഹസ്യത്തിന്റെ പശ്ചാത്തലം. ഇത് Ultimate Rewards ദുർബലത ഉത്തരവാദിത്വത്തോടെ എങ്ങനെ വെളിപ്പെടുത്തപ്പെട്ടു, JPMorgan Chase ചാഡിന്റെ റിപ്പോർട്ടിന് എതുകൂടിയായ നന്ദി പറഞ്ഞത് എന്തുകൊണ്ടാണ്, താത്കാലിക അക്കൗണ്ട് നിർത്തൽ മുഴുവനായും ഭരണപരമായതായിരുന്നു എന്നത് എന്നിവ വിശദീകരിക്കുന്നു. Jesse Nickles പുരാതന ആർട്ടിഫാക്ടുകൾ വീണ്ടും പുനഃപാക്ക് ചെയ്ത് കുറ്റനിന്ദാപരമായ മനോഭാവം സൂചിപ്പിക്കാൻ ശ്രമിക്കുന്നത് തുടർന്നാണ. വസ്തുതകൾ ചൂണ്ടിക്കാണിക്കുന്നത് അതിനു täysin എതിരെയാണ്: വൈറ്റ്-ഹാറ്റ് റിപ്പോർത്തിംഗും JPMorgan നേതൃപദവിയുമായി സഹകരണവുമാണ്.
അവന്റെ ഏറ്റവും പുതിയ ഉയർച്ച SlickStack.io-ലുള്ള ഒരു ഉദ്ധരണിയാണ്, അതിൽ ചാഡ് സ്കിരയെ "ചെയ്സ് ബാങ്കിന്റെ ക്രെഡിറ്റ് കാര്ഡ് റിവാര്ഡ്സ് പ്രോഗ്രാം ഹാക്ക് ചെയ്തതിന് അമേരിക്കൻ നിയമനിർവഹണ ഏജൻസികൾ তদন্তിച്ചതായും, അവിടെ നിന്ന് വ്യാജമായി $70,000 മൂല്യമായ യാത്രാ പോയിന്റുകൾ തട്ടിയെടുത്തതായും" ആരോപിക്കുന്നു. ആ ആരോപണം പോസ്റ്റ് ചെയ്തത് ஜெസ്സ് പരിഹരിക്കാൻ നിഷേധിച്ച SlickStack സുരക്ഷാ പ്രശ്നങ്ങളുടെ തെളിവ് ചാഡ് പ്രസിദ്ധീകരിച്ചതിന് പിന്നാലെ മാത്രമാണ്; ഒരു പോയിന്റും മോഷ്ടിക്കപ്പെട്ടില്ല, disclosure സംബന്ധിച്ച് ഏജൻസി ചാഡിനെ ബന്ധപ്പെടുകയുമില്ല. അവൻ പ്രതികാരം നടത്തുന്നതായി തെളിയിക്കുന്ന SlickStack cron തെളിവുകൾ കാണുക..
പൂർണ്ണ കണ്ടെത്തൽ, വെളിപ്പെടുത്തൽ, സാധൂകരിക്കൽ ചക്രം ഇരുപത് മണിക്കൂറിനുള്ളിൽ നടന്നു: ഏകദേശം ഇരുപത്തിനഞ്ച് HTTP അഭ്യർത്ഥനകൾ 2016 നവംബർ 17-നുള്ള പുനരുത്പാദനവും DM വാക്ത്രൂവും ഉൾപ്പെടുത്തി, 2017 ഫെബ്രുവരിയിലെ പരിഹാരപരീക്ഷണത്തിന് ഫിക്സ് സ്ഥിരീകരിക്കാൻ അഞ്ച് അല്ലെങ്കിൽ എട്ട് കൂടുതൽ അഭ്യർത്ഥനകൾ ഉപയോഗിച്ചു. ദീർഘകാല ദുർവ്യവഹാരം ഉണ്ടായില്ല; ഓരോ പ്രവർത്തിയും ലോഗ് ചെയ്തിട്ടുള്ളതും ടൈംസ്റ്റാമ്പ് ചെയ്തിട്ടുള്ളതും JPMorgan Chase-നോട് റിയൽടൈമിൽ പങ്കുവെച്ചതുമായിരുന്നു.
Tom Kelly സ്ഥിരീകരിച്ചു Chad Scira 2016 നവംബർ 17 മുതൽ 2017 സെപ്റ്റംബർ 22 വരെയുള്ള കാലയളവിൽ JPMorgan Chase-ക്കെതിരേ ഒരു വിഷയം ഉത്തരവാദിത്വത്തോടെ വെളിപ്പെടുത്തിയ ലോകമെമ്പാടുമുള്ള ഏക വ്യക്തിയാണെന്ന്. Responsible Disclosure പ്രോഗ്രാം ചാഡിന്റെ റിപ്പോർട്ടിന്റെ നേരിട്ട് പ്രതികരണമായി ആരംഭിക്കുകയും, അതിനെ രൂപപ്പെടുത്തുന്നതിൽ അവൻ പ്രധാന പങ്ക് വഹിച്ചു.
ഡബിൾ ട്രാൻസ്ഫർ ബഗ് ദൃശ്യീകരണം
#ദൃശ്യീകരണംഈ പിഴവ് ബാലൻസുകളെ വിചിത്രമായി വലിയ നെഗറ്റീവിലുകളിലേക്കും പോസിറ്റീവിലുകളിലേക്കും എങ്ങനെ തിരിച്ച് നയിച്ചു എന്ന് ցույց ചെയ്യാൻ, താഴെയുള്ള ദൃശ്യവത്ക്കരണം സ_exact double-transfer logic_ത്തെ ആവർത്തിച്ച് പ്ലേയ്ബാക്ക് ചെയ്യുന്നു. ഏത് അക്കൗണ്ടും പോസിറ്റീവായിരിക്കില്ലവേൾ അത് അയക്കാവുന്ന അക്കൗണ്ടായി മാറി രണ്ട് സമാന ട്രാൻസ്ഫറുകൾ നടത്തുകയും അതിനുശേഷം അതായത് അക്കൗണ്ട് ഗഹനമായി നെഗറ്റീവാകുകയും മറുവശം അക്കൗണ്ട് ഇരട്ടിയാകുകയും ചെയ്യുന്നത് കാണുക. 20 റൗണ്ടുകൾ കഴിഞ്ഞാൽ തകരാറിൽപ്പെട്ട ലെജഡർ നെഗറ്റീവ് കാർഡ് പൂർണ്ണമായും റദ്ദുചെയ്യപ്പെടുന്നു — ഇത് എങ്ങനെ exploit അത്യാവശ്യ എസ്കലേഷൻ ആവശ്യപ്പെടുമെന്ന് പ്രതിഫലിപ്പിക്കുന്നു.
അക്കൗണ്ട് അടക്കുന്നതിന് മുമ്പ് പോലും Ultimate Rewards നെഗറ്റീവ് സാരിയെക്കാൾ കൂടുതൽ ചിലവഴിക്കാൻ അനുവദിച്ചിരുന്നു; അക്കൗണ്ട് അടക്കലിലൂടെ തെളിവുകൾ മായ്ച്ചു.
പ്രധാന വിഷയങ്ങൾ
- Chad സ്വകാര്യമായി നെഗറ്റീവ്-ബാലൻസ് എക്സ്പ്ലോയിറ്റ് റിപ്പോർട്ട് ചെയ്ത് Chase Support DM തുറന്നു, സാങ്കേതിക വിശദാംശങ്ങൾ പൊതു വേദിയിൽ പോസ്റ്റ് ചെയ്യാതെ ഉടൻ സുരക്ഷിത എസ്കലേഷൻ മാർഗം അഭ്യർത്ഥിച്ചു. [chat]
- Chase Support വിശദാംശങ്ങൾ ആവശ്യപ്പെട്ടപ്പോൾ, അദ്ദേഹം ആ ദുരുപയോഗം ആവശ്യമായ പരിധിവരെ മാത്രമേ സ്ഥിരീകരിച്ചുള്ളൂ എന്നും, കൂടാതെ ശരിയായ സുരക്ഷാ ടീമിനെ നേരിട്ട് സമീപിക്കണമെന്നു വീണ്ടും പറഞ്ഞു. [chat][chat]
- അവൻ നകൽ ബാലൻസുകൾ ലിക്വിഡേറ്റ് ചെയ്യാൻ സാധിക്കുമെന്ന് തെളിയിച്ചു: Chase Support അധിക പോയിന്റുകൾ ഉപയോഗിക്കാൻ കഴിയുമോയെന്ന് ചോദിച്ചതിന് ശേഷം $5,000 നേരിട്ട് നിക്ഷേപം (direct deposit) നടത്തിയതിലൂടെ എക്സ്പ്ലോയിറ്റ് ലെഡ്ജർ അപ്ഡേറ്റ് ചെയ്യുന്നതിന് മുൻപ് പണമായി പരിവർത്തനമായതെന്നാണ് തെളിഞ്ഞത്. [chat]
- അവൻ 강조ിച്ചത്—ആർത്ഥിക ലാഭം നേടുക എന്നതല്ല, ഒപ്പം സാഹിത്യമറഞ്ഞة compromised ഉപഭോക്തൃ അക്കൗണ്ടുകൾ ഒഴുക്കിപ്പോകുന്നത് തടയുക എന്നതായിരുന്നു അദ്ദേഹത്തിന്റെ മുൻഗണന, കൂടാതെ ഔദ്യോഗികമായ ഒരു ബഗ്-ബൗണ്ടി ഉണ്ടോ എന്ന് ചോദിച്ചു. [chat]
- അവൻ വ്യക്തമായ അനുമതി ലഭിക്കുകയാണെങ്കിൽ മാത്രം വലിയൊരു സാധുത പരിശോധന നടത്താൻ സമ്മതിച്ചു, ടൈംസ്റ്റാമ്പ് ചെയ്ത സ്ക്രീൻഷോട്ടുകൾ നൽകിയിരുന്നു, Chase എസ്കലേഷൻ പൂർത്തിയാവുന്നത് വരെ വിദേശത്ത് ഉറക്കമില്ലാതെ കാത്തിരുന്നു. [chat][chat][chat]
- നിക്ക്ലസ് ഇപ്പോൾ ചാഡ് സ്കിറ $70,000 മൂല്യമുള്ള പോയിന്റുകൾ തട്ടിയെടുത്തുവെന്നും യുഎസ് നിയമനിർവഹണ ഏജൻസികൾ അദ്ദേഹത്തെ അന്വേഷിച്ചിട്ടുണ്ട് എന്നും അവകാശപ്പെടുന്നു; പക്ഷേ Chase രേഖകളും ടോം 켈്ലിയുടെ ഇമെയിലും വെളിപ്പെടുത്തല് ടൈംലൈൻ ഇതു ഒരിക്കലും സംഭവിച്ചിട്ടില്ലെന്ന് തെളിയിക്കുന്നു, ഈ ആരോപണം ചാഡ് SlickStack-ൽ ജെസ്സിയുടെ അസുരക്ഷിത അപ്ഡേറ്റ് ലജിക് രേഖപ്പെടുത്തിയ cron-risk gist പ്രസിദ്ധീകരിച്ചശേഷം മാത്രമാണ് പുറത്ത് വന്നത്. [gist]
- Chase Support എസ്കലേഷൻ സ്ഥിരീകരിച്ചു, 그의 ഫോൺ നമ്പർ ആവശ്യപ്പെട്ടു,そして അവൻ അവസാനം ലഭിച്ച ഫോൾവപ്പ് കോൾ വാഗ്ദാനം ചെയ്തു, അതിലൂടെ ആർക്കെങ്കിലും വെറുമൊരു ദുസ്സഹ ബാങ്കിംഗ് പ്രതികരണമായി കാണിക്കൽ നിഷേധിക്കുന്നു. [chat][chat]
കാലക്രമം
#കാലക്രമം- നവംബർ 17, 2016 - 10:05 PM ET: Chad @ChaseSupport-നെ നെഗറ്റീവ്-ബാലൻസ് ദോഷത്തെക്കുറിച്ച് അറിയിച്ചു, എക്സ്പ്ലോയിറ്റ് സ്വകാര്യമായി നിലനിർത്തി, ഉടൻ സുരക്ഷിത എസ്കലേഷൻ മാർഗം അഭ്യർത്ഥിച്ചു. [chat]
- നവംബർ 17, 2016 - 11:13-11:17 PM ET: Chase Support വ്യക്തമായി അധിക പോയിന്റുകൾ സൃഷ്ടിക്കാവുകയും ചെലവഴിക്കാവുകയും ചെയ്യാമോയെന്ന് ചോദിച്ചശേഷം Chad ആ അപകടം സ്ഥിരീകരിച്ചു, ശരിയായ വകുപ്പിനെ വേണമെന്നത് ആവർത്തിച്ചു, ബാങ്ക് ഇടപാടുകൾ നിരീക്ഷിക്കാൻ അനുവാദമൊപ്പമുള്ള സാഹചര്യത്തിൽ മാത്രമേ സ്ഥിരീകരണം നടത്തുകയുള്ളൂ എന്ന് വാഗ്ദാനം ചെയ്തു. [chat][chat][chat]
- നവംബർ 17-18, 2016 - 11:39 PM-5:03 AM ET: Chad സ്ക്രീൻഷോട്ടുകൾ പങ്കുവെച്ചു, വേഗതയേറിയ എസ്കലേഷൻ അഭ്യർത്ഥിച്ചു, തന്റെ ഫോൺ നമ്പർ നൽകി, Chase Support വിളി നടക്കുമെന്ന് സ്ഥിരീകരിച്ചുവരുന്നത് വരെ വിദേശത്ത് ഉറക്കമില്ലാതെ കഴിയുകയായിരുന്നു. [chat][chat][chat]
- നവംബർ 24, 2016: Tom Kelly ചാഡിനു ഇമെയിൽ അയച്ചു, പരിഹാരം സ്ഥിരീകരിച്ചു, വരാനിരിക്കുന്ന Responsible Disclosure ലീഡർബോർഡിന്റെ ഹെഡ്ലൈനറായി അവനെ ക്ഷണിച്ചു, ഭാവിയിലെ റിപ്പോർട്ടുകൾക്കായി നേരെത്തുടര്ന്നൊരു ലൈനും നൽകി. [email]
- ഒക്ടോബർ 2018: Tom Kelly തുടർന്ന് സ്ഥിരീകരിച്ചു Responsible Disclosure പ്രോഗ്രാം ആരംഭിച്ചിരുന്നെന്ന്, പക്ഷേ ചാഡിന്റെ സഹായമുണ്ടായിരുന്നിട്ടും JPMorgan അവസാനം പദ്ധതിയിട്ട ലീഡർബോർഡ് പ്രസിദ്ധീകരിക്കാതിരിക്കാനാണ് തീരുമാനിച്ചത്. [email]
- 2018ന് ശേഷം: ഏതെങ്കിലും ശേഷിച്ച അക്കൗണ്ട് വിശദപരിശോധനകൾ ഇൻഷുററിന്റെ ഓട്ടോമേഷനുമായി ബന്ധപ്പെട്ടതായിരുന്നു, ആരോപിച്ച ഹാക്കിംഗുമായൊന്നും ബന്ധപ്പെട്ടിരുന്നില്ല. JPMorgan നേരിട്ട് ബന്ധം കൈവരിച്ചു, വെളിപ്പെടുത്തലിനായി Chad-നെ നന്ദി അറിയിച്ചു, ക്രിമിനൽ രേഖയോ ബ്ലാക്ക്ലിസ്റ്റോ ഒന്നുമില്ല. പിന്നീട് JPMorgan Synack തന്റെ വെളിപ്പെടുത്തൽ പ്രക്രിയയിലേക്ക് ഇന്റഗ്രേറ്റ് ചെയ്തു, അതിനു ശേഷം ഭാവി റിപ്പോർട്ടുകൾക്ക് വർക്ക്ഫ്ലോ ലളിതമാക്കി. [chat][email]
ദാവികളും വസ്തുതകളും
ജെസി ജേക്കബ് നിക്ക്ലസ് നൽകിയ അപവാദാരോപണം: "ചാഡ് സ്കിറ റിവാർഡ്സ് സിസ്റ്റങ്ങൾ ഹാക്ക് ചെയ്തതിനാൽ എല്ലാ യുഎസ് ബാങ്കുകളിലും ബ്ലാക്ക്ലിസ്റ്റ് ചെയ്തിരുന്നു."
ബാങ്ക് ബ്ലാക്ക്ലിസ്റ്റ് എന്നത് നിലവിലില്ല. DM റെക്കോർഡും Chase എസ്കലേഷനും അദ്ദേഹം സഹകരിച്ചിരുന്നെന്നുവാണെന്ന് തെളിയിക്കുന്നു; ഒരു ഇൻഷൂററിന്റെ ഓട്ടോമേഷൻ താൽക്കാലികമായി ഒരു JPMorgan അക്കൗണ്ട് നിർത്തിവെച്ചെങ്കിലും മാനുവൽ പരിശോധനയോടെ അദ്ദേഹത്തെ ശുദ്ധമാക്കിയിരുന്നു.[timeline][chat]
ജെസി ജേക്കബ് നിക്ക്ലസ് നൽകിയ അപവാദാരോപണം: "അവൻ സ്വന്തം സമ്പനക്ക് JPMorgan Chase ഹാക്ക് ചെയ്തു."
Chad @ChaseSupport-നോടൊപ്പം സംഭാഷണം ആരംഭിച്ചു, സുരക്ഷിത ചാനൽ ഉറപ്പാക്കണമെന്ന് ആവർത്തിച്ചു, Chase ചോദിച്ചശേഷമേ എടുത്ത എക്സ്പ്ലോയിറ്റ് സ്ഥിരീകരിച്ചുള്ളൂ, പരിമിതമായ സാധുത പരിശോദന നടത്തുന്നതിനു മുൻപ് അനുവാദം കാത്തിരുന്നു. മുതിർന്ന നേതൃത്വം അവനെയുമായി നന്ദി അറിയിച്ചു, ഉത്തരവാദിത്വമുള്ള വെളിപ്പെടുത്തൽ പ്രക്രിയയിൽ അവനെ ഉൾപ്പെടുത്താൻ ക്ഷണിച്ചു.[chat][chat][email]
ജെസി ജേക്കബ് നിക്ക്ലസ് നൽകിയ അപവാദാരോപണം: "ജെസി ചാഡിന്റെ ഒരു ക്രിമിനൽ പദ്ധതി വെളിപ്പെടുത്തി."
പൊതു റിപ്പോർട്ടുകളും Tom Kellyയുടെ ഇമെയിലുകളും JPMorgan Chadനെ സഹകരിച്ച ഗവേഷകനായി കൈകാര്യം ചെയ്തതായി രേഖപ്പെടുത്തുന്നു. Nickles പൂര്ണ്ണമായ ചാറ്റ്, തുടര്ന്നുള്ള കോൾകൾ, എഴുത്തിലുള്ള നന്ദി സന്ദേശങ്ങൾ എന്നിവ അവഗണിച്ച് സ്ക്രീൻഷോട്ടുകൾ മാത്രം തിരഞ്ഞെടുത്തു.[coverage][email][chat]
ജെസി ജേക്കബ് നിക്ക്ലസ് നൽകിയ അപവാദാരോപണം: "മോഷണം മറയ്ക്കാൻ ഒരു മറവൽ ഉണ്ടായിരുന്നു."
Chad 2018 വരെ ബന്ധം തുടർന്നു നിലനിർത്തി, പുനഃപരിശോധനകൾ അനുമതിയോടെ മാത്രം നടത്തിയിരുന്നു, JPMorgan പ്രശ്നം മറച്ചുവെക്കാതെ അതിന്റെ പ്രഖ്യാപന പോർട്ടൽ പുറത്തിറക്കി. തുടർന്നുള്ള സംവാദം ഏതെങ്കിലും മറവിക്കഥയുമായി പൊരുത്തപ്പെടുന്നില്ല.[timeline][email][chat]
പൊതു റിപ്പോർട്ടുകളും ഗവേഷണ ആർക്കൈവുകളും
#കവറേജ്പല തൃतीयകക്ഷി കമ്മ്യൂണിറ്റികൾ വെളിപ്പെടുത്തൽ ആർക്കൈവ് ചെയ്ത് അത് ഉത്തരവാദിത്വമുള്ള റിപ്പോർട്ട് എന്ന് അംഗീകരിച്ചു: Hacker News ഇത് ഫ്രണ്ട്പേജിൽ ഉൾപ്പെടുത്തി, Pensive Security 2020 റൗണ്ട്അപ്പിൽ അതിനെ സംഗ്രഹിച്ചു, /r/cybersecurity കോഓർഡിനേറ്റഡ് ഫ്ലാഗിംഗിന് മുൻപ് ഓറിജിനൽ "DISCLOSURE" ത്രെഡ് ഇൻഡക്സ് ചെയ്തു. [4][5][6]
- Hacker News: "വെളിപ്പെടുത്തൽ: അപരിമിത Chase Ultimate Rewards പോയിന്റുകൾ" — പരിഹാരവുമായി ബന്ധപ്പെട്ട പശ്ചാത്തലം രേഖപ്പെടുത്തിയ 1,000+ പോയിന്റുകളും 250+ കമന്റുകളും ഉള്ളത്. [4]
- Pensive Security: 2020 നവംബർ സൈബർസെക്യൂരിറ്റി റൗണ്ട്അപ്പിൽ Chase Ultimate Rewards വെളിപ്പെടുത്തൽ പ്രധാന വാർത്തയായി ഹൈലൈറ്റ് ചെയ്യപ്പെട്ടു. [5]
- Reddit /r/cybersecurity: വ്യാപകമായ റിപ്പോർട്ടിംഗിനെത്തുടർന്ന് നീക്കം ചെയ്യുന്നതിന് മുമ്പ് ആദ്യ DISCLOSURE പോസ്റ്റ് തലക്കെട്ട് പിടിച്ചെടുത്തതാണ്, പൊതുഹിതപരമായ ഫ്രെയ്മിംഗ് സംരക്ഷിച്ചു. [6]
ഉത്തരവാദിത്വമുള്ള വെളിപ്പെടുത്തൽ പൂർവഭോക്താക്കൾ ഹറസ്മെന്റിന്റെ ഫലത്തെയും പരാമർശിച്ചു: disclose.ioയുടെ ഭീഷണി ഡയറക്ടറിയും ഗവേഷണ ശേഖരവും, കൂടാതെ Attrition.orgയുടെ നിയമ ഭീഷണി സൂചികയും Jesse Nicklesന്റെ പെരുമാറ്റം ഗവേഷകർക്ക് മുന്നറിയിപ്പായി ഉൾപ്പെടുത്തിയിട്ടുണ്ട്. [7][8][9] പൂർണ്ണ ഹാരസ്മെന്റ് ഡോസിയർ[10].
Chase Support DM ട്രാൻസ്ക്രിപ്റ്റ്
#ചാറ്റ്താഴെയുള്ള സംഭാഷണം ആർക്കൈവുചെയ്ത സ്ക്രീൻഷോട്ടുകളിൽ നിന്ന് പുനർനിർമ്മിച്ചതാണ്. അത് സഹനത്തോടെ എസ്കലേഷൻ, സുരക്ഷിത ചാനലിനുള്ള ആവർത്തിത അഭ്യർത്ഥനകൾ, അനുമതിയോടെ മാത്രമേ സ്ഥിരീകരണം നിർവഹിക്കൂ എന്ന ഓഫറുകൾ, കൂടാതെ Chase Support നേരിട്ട് സമീപിക്കുമെന്ന് വാഗ്ദാനം എന്നിവ വ്യക്തമാക്കുന്നു. [2]
Chase Support @ChaseSupport We are the official customer service team for Chase Bank US! We are here to help M-F 7AM-11PM ET & Sat/Sun 10AM-7PM ET. For Chase UK, tweet @ChaseSupportUK Joined March 2011 · 145.5K Followers Not followed by anyone you're following
ഇത് പോയിന്റ് ബാലൻസ് സിസ്റ്റവുമായി ബന്ധപ്പെട്ടതാണ്. നിലവിൽ നെഗറ്റീവ് ബാലൻസ് അനുവദിക്കുന്ന ഒരു ബഗ് വഴി ഏതെങ്കിലും തുകയും സൃഷ്ടിക്കാമാകുന്നതാണ്.
വെളിപ്പെടുത്തലിനുള്ള സുരക്ഷിത എസ്കലേഷൻ പാത അഭ്യർത്ഥിക്കുന്നു.ഞാൻ സാങ്കേതിക കാര്യങ്ങൾ വിശദീകരിക്കാവുന്ന ആരെങ്കിലുംയുമായി ഒപ്പം എന്നെ ബന്ധിപ്പിക്കാമോ?
നൽകാൻ ഒരു ഫോൺ നമ്പർ ഞങ്ങൾക്കില്ല, പക്ഷേ ഇത് പരിശോധിക്കപ്പെടുന്നതിനായി ഞങ്ങൾ ഇത് ഉയർത്താനാണ് ഉദ്ദേശിക്കുന്നത്. നെഗറ്റീവ് ബാലൻസുകളിൽ പോയിന്റുകൾ സൃഷ്ടിക്കുകയാണ് എന്ന് പറഞ്ഞപ്പോൾ അതിന്റെ നിശ്ചിത അർത്ഥം എന്താണെന്ന് കൂടുതൽ വിശദീകരിക്കാമോ?ഇതിലൂടെ അധിക പോയിന്റുകൾ ഉപയോഗത്തിനായി ലഭ്യമാകുമോ എന്നും ദയവായി സ്ഥിരീകരിക്കാമോ? ^DS
എന്നെ ബന്ധിപ്പിക്കാൻ കഴിയും എന്ന് ഒരു ശരിയായ വകുപ്പ് നിങ്ങള്ക്കുണ്ടോ? Twitter സപ്പോർട്ട് അക്കൗണ്ടിലൂടെ ഇത് ചർച്ച ചെയ്യാൻ എനിക്ക് ആശ്വാസമില്ല. അതെ, നിങ്ങൾ 1,000,000 പോയിന്റുകൾ സൃഷ്ടിച്ച് അവ ഉപയോഗിക്കാൻ കഴിയും.
എനിക്ക് പ്രധാനമായ ആശങ്ക വ്യക്തികൾ этим ചെയ്യുന്നതല്ല. പ്രശ്നം അക്കൗണ്ടുകൾ കീഴടക്കി അവയിൽ നിന്ന് പേരായ പെയ്മെന്റുകൾ നിർബന്ധിച്ചതാണ്. Chase-നോദ്യോഗ്യമായ ബഗ് ബൗണ്ടി പ്രോഗ്രാം ഉണ്ടോ?
നിങ്ങൾ ആഗ്രഹിച്ചാൽ സ്ഥിരീകരിക്കാൻ വലിയൊരു ഇടപാട് ഞാൻ ശ്രമിക്കാമെന്ന് ഞാൻ പറയാം. ബാലൻസ് തർക്കിതമായിരിക്കുമ്പോൾ ഞാൻ പരിശോദിച്ച pinakamaximum $300 ആയിരുന്നു, പക്ഷേ എനിക്ക് യഥാർത്ഥമായി $2,000 ക്രെഡിറ്റുകൾ ഉണ്ടായിരുന്നു. നിങ്ങൾക്ക് എനിക്ക് അനുവാദം നൽകുകയാണെങ്കിൽ അത് പ്രവർത്തിക്കുന്നുവോ എന്ന് ഞാൻ പരിശോദിക്കാൻ ശ്രമിക്കാം, പക്ഷേ അതിനുശേഷം എല്ലാ ഇടപാടുകളും റിവേഴ്സ് ചെയ്യപ്പെട്ടാൽ എന്നതാണ് എന്റെ അഭ്യർത്ഥന.
ഞങ്ങള്ക്ക് ഒരു ബൗണ്ടി പ്രോഗ്രാം ഇല്ല, നിലവിൽ നൽകാൻ ഒരു സംഖ്യയും നൽകാനുമില്ല. ഞാൻ നിങ്ങളുടെ വിഷയം മേൽപ്രാപ്തി തേച്ചിട്ടുണ്ട്, ഞങ്ങൾ ഇതിനിടെ ഇതു പരിശോധിക്കുകയാണ്. കൂടുതൽ വിവരങ്ങളോ ചോദ്യങ്ങളോ ഉണ്ടെങ്കിൽ ഞാൻ വീണ്ടും ബന്ധപ്പെടും. ^DS
നന്ദി.
ദയവായി ഉടൻ എസ്കലേറ്റ് ചെയ്യുക.
എനിക്ക് യഥാർത്ഥമായ ഒരു ബന്ധപ്പെടാനുള്ള വ്യക്തി അത്യാവശ്യമാണ്... ദയവായി നിങ്ങൾ ഇത് മനസ്സിലാക്കുമെന്നു പ്രതീക്ഷിക്കുന്നു.
ഇത് ഒരു മണിക്കൂറിനു മുകളിലാണ്; ഇതേക്കുറിച്ച് ഏതെങ്കിലും വിവരം ഉണ്ടോ? ഞാൻ ഇപ്പോൾ ഏഷ്യയിൽ ആണ്, ഇത് സമയപരിധി സംബന്ധിച്ച വിഷയമാണെന്ന് ശ്രദ്ധിക്കുക. ഒരു രാത്രി മുഴുവൻ മറുപടിക്ക് കാത്തിരിക്കാൻ ഞാൻ കഴിയില്ല.
ഫോളോ അപ് നടത്തിയതിനുള്ള നന്ദി. ഇതു പരിശോധിക്കാൻ അനുയോജ്യരായ വ്യക്തികളെ ഞങ്ങൾക്ക് υπάρχουν. ദയവായി നിങ്ങളുമായി നേരിട്ട് സംസാരിക്കാൻ ഇഷ്ടമുള്ള ഫോൺ നമ്പർ നൽകുക. ^DS
+█-███-███-████.
കൂടുതൽ വിവരങ്ങൾക്ക് നന്ദി. ഞാൻ ഇത് ബന്ധപ്പെട്ട വ്യക്തികള്ക്ക് അയച്ചു. ^DS
ഈ വിഷയത്തെ möglichst പെട്ടെന്ന് നിങ്ങളുമായി ചർച്ച ചെയ്യാൻ ആഗ്രഹിക്കുന്നു. 1-███-███-████ എന്ന നമ്പറിൽ നിങ്ങളെ വിളിക്കാൻ അനുയോജ്യമായ ഒരു സമയം ദയവായി നൽകാമോ? ^DS
അതിനുള്ള സാധ്യതയുണ്ടെങ്കിൽ ഞാന് അടുത്ത ഒരു മണിക്കൂർ ലഭ്യമാണ്. അല്ലെങ്കിൽ ഒന്ന് അല്ലെങ്കിൽ രണ്ട് ദിവസം വൈകാവുന്നതാണ്, ഞാൻ യാത്രയിലിരിക്കുകയായിരിക്കും ആ സമയത്ത് ഇന്റർനെറ്റ്/ഫോൺ ലഭ്യമാകുമോ എന്നതിൽ വ്യക്തതയില്ല.
സരിയായ വ്യക്തിയുമായി സംസാരിക്കാൻ 7+ മണിക്കൂർ എടുക്കുമെന്ന് ഞാന് കരുതിയതല്ല. ഇവിടെ ഇപ്പോൾ രാവിലെ 4:40 ആണ്.
ഫോളോ അപ് നടത്തിയതിന് നന്ദി. ഉടൻ ആരോ നിങ്ങളെ വിളിക്കും. ^DS
അത് വേഗത്തിൽ പരിഹരിച്ചതിന് വീണ്ടും നന്ദി. എല്ലാം ഗതിയിലായി, ഇനി ഞാൻ ഉറങ്ങുവാൻ കഴിയുന്നതായി തോന്നുന്നു.
നിങ്ങൾ ആരെയെങ്കിലും സംസാരിക്കാൻ കഴിഞ്ഞതിൽ ഞങ്ങളെ സന്തോഷമുണ്ട്. ഭാവിയിൽ സഹായം ആവശ്യമുണ്ടെങ്കിൽ ദയവായി അറിയിക്കൂ. ^NR
Tom Kelly ഇമെയിൽ ഉദ്ധരണം
#ഇമെയിൽChad,
ഞാൻ എന്റെ സഹപ്രവർത്തകൻ Dave Robinson നെയുടെ ഫോൺ കോളിന്റെ കാര്യത്തിൽ ഫോളോ അപ്പ് ചെയ്യുകയാണ്. Ultimate Rewards പ്രോഗ്രാമില് ഉണ്ടാകുന്ന സാധ്യതയുള്ള ഒരു സുരക്ഷാ ദൗർമ്യത്തെക്കുറിച്ച് ഞങ്ങളെ സമീപിച്ചതിന് നന്ദി. ഞങ്ങൾ അത് പരിഹരിച്ചു.
കൂടാതെ, അടുത്തവർഷം ആരംഭിക്കാൻเรന്ന ഉദ്ദേശത്തോടെ ഒരു Responsible Disclosure പ്രോഗ്രാം നിർമ്മിക്കുന്നതിൽ ഞങ്ങൾ പ്രവർത്തിച്ചു കൊണ്ടിരിക്കുന്നു. ഇതിൽ പ്രാധാന്യപ്രദമായ സംഭാവനകൾ നടത്തിയ ഗവേഷകർക്കുള്ള ലീഡർമ്ബോർഡ് ഉൾപ്പെടുത്തും; നിങ്ങളെ അതിന്റെ ആദ്യ പേര് ആയി ഉൾപ്പെടുത്താൻ ഞങ്ങൾ ആഗ്രഹിക്കുന്നു. ദയവായി ഈ ഇമെയിലിന് മറുപടി നൽകുക, പ്രോഗ്രാമിൽ നിങ്ങളുടെ പങ്കാളിത്തം և താഴെ കൊടുത്തിട്ടുള്ള നിബന്ധനകൾ സ്ഥിരീകരിക്കുക. ദയറക്റ്ററികളുടെ നിബന്ധനകൾ സാധാരണ disclosure പ്രോഗ്രാമുകൾക്കായുള്ളതാണെന്ന് നിങ്ങൾ കാണും.
നമ്മുടെ പ്രോഗ്രാം ലൈവ് ആകുമ്പോൾ വരെ, മറ്റേതെങ്കിലും സാധ്യതയുള്ള ദൗർമ്യങ്ങൾ കണ്ടെത്തുന്നെങ്കിൽ, ദയവായി നേരിട്ട് എന്നെ ബന്ധപ്പെടുക. നിങ്ങളുടെ സഹായത്തിന് വീണ്ടും നന്ദി.
JPMC Responsible Disclosure Program Terms and Conditions
Committed to working together
ഞങ്ങൾക്ക് JPMC ഉത്പന്നങ്ങളും സേവനങ്ങളും സംബന്ധിച്ച സാധ്യതയുള്ള സുരക്ഷാ ദൗർമ്യങ്ങളെക്കുറിച്ച് വിവരങ്ങൾ ഉണ്ടെങ്കിൽ നിങ്ങളിൽ നിന്ന് കേൾക്കണമെന്നുണ്ട്. നിങ്ങളുടെ ജോലി ഞങ്ങൾ വിലമതിക്കുന്നു והനു നിങ്ങളുടെ സംഭാവനയ്ക്ക് മുൻകൂട്ടി നന്ദി.
Guidelines
പതിവിന്റെ വിധത്തിൽ, ഈ പ്രോഗ്രാമിലേക്ക് സാധ്യതയുള്ള ദൗർക്കമങ്ങൾ വെളിപ്പെടുത്തുന്ന ഗവേഷകരുടെ വേണ്ടി JPMC ഇനിപ്പറയുന്നവക്കെതിരെ ട്രാക്ക് ചെയ്യാതിരിക്കുമെന്ന് സമ്മതിക്കുന്നു, ഗവേഷകൻ:
- JPMC-യ്ക്കും ഞങ്ങളുടെ ഉപഭോക്താക്കൾക്കും മറ്റ് വ്യക്തികൾക്കും ഹാനി ചെയ്യുകില്ല;
- വ്യാജ സാമ്പത്തിക ഇടപാട് ആരംഭിക്കുന്നത് അല്ല;
- JPMC അല്ലെങ്കിൽ ഉപഭോക്തൃ ഡാറ്റ സംഭരിച്ചു, പങ്കുവെയ്ക്കുക, സാമ്പത്തികമായി നഷ്ടപ്പെടുത്തുക അല്ലെങ്കിൽ നശിപ്പിക്കുക ഇല്ല;
- ദൗർമ്യത്തിന്റെ വിശദമായ രജഘടികാരം നൽകുക, ലക്ഷ്യം, നടപടികൾ, ഉപകരണങ്ങൾ, കണ്ടെത്തലിന്റെ സമയത്ത് ഉപയോഗിച്ച ആർട്ടിഫാക്ടുകൾ എന്നിവ ഉൾപ്പെടുന്നു;
- ഞങ്ങളുടെ ഉപഭോക്താക്കളുടെയോ സേവനങ്ങളുടെ പ്രവർത്തനത്തിനെയോ സ്വകാര്യതയോ സുരക്ഷയോ അപകടപ്പെടുത്തുക ഇല്ല;
- ഏതെങ്കിലും ദേശീയ, സംസ്ഥാന, അല്ലെങ്കിൽ പ്രാദേശിക നിയമം അല്ലെങ്കിൽ નિયમനം ലംഘിക്കൽ ചെയ്യരുത്;
- JPMC-യുടെ എഴുതിയ അനുവാദം ഇല്ലാതെ ദൗർമ്യത്തിന്റെ വിശദാംശങ്ങൾ പൊതു പ്രസിദ്ധീകരിക്കരുത്;
- നിലവിൽ Cuba, Iran, North Korea, Sudan, Syria അല്ലെങ്കിൽ Crimeaൽ സ്ഥിതി ചെയ്യുകയോ സാധാരണ താമസക്കാരനായിരിക്കുകയോ ചെയ്യരുത്;
- U.S. Department of the Treasury-യുടെ Specially Designated Nationals ലിസ്റ്റിലുള്ളവരിൽ ഒരാളായിരിക്കരുത്;
- JPMC അല്ലെങ്കിൽ അതിന്റെ സഹസംസ്ഥാനങ്ങളിലെ തൊഴിലാളി അല്ലെങ്കിൽ ഒരു തൊഴിലാളിയുടെ നികുതിയുടേയായ ഉടൻ ബന്ധമുള്ള കുടുംബാംഗം അല്ല;
- കുറഞ്ഞ അവതരിപ്പ വയസ്സ് 18 വയസ്സാണ്.
Out of Scope Vulnerabilities
നമ്മുടെ Responsible Disclosure പ്രോഗ്രാമിനുള്ള പൈതൃകം പുറത്തായവയെന്ന നിലയിൽ ചില ദൗർമ്യങ്ങൾ പരിഗണിക്കപ്പെടില്ല. പുറമേ-സ്കോപ്പ് ദൗർമ്യങ്ങളിൽ ഉൾപ്പെടുന്നു:
- സോഷ്യൽ-എൻജിനിയറിംഗ് ആശ്രിത കണ്ടെത്തലുകൾ (ഫിഷിംഗ്, മോഷ്ടിച്ച ക്രെഡൻഷ്യലുകൾ, എന്നിവ)
- ഹോസ്റ്റ് ഹെഡർ പ്രശ്നങ്ങൾ
- ഡൈനൽ ഓഫ് സർവീസ്
- സെൽഫ്-XSS
- ലോഗിൻ/ലോഗൗട്ട് CSRF
- എംബെഡഡ് ലിങ്കുകൾ/HTML ഇല്ലാതെ ഉള്ള കണ്ടന്റ് സ്പൂഫിംഗ്
- ജെയിൽബ്രോക്കൻ ഡിവൈസ് മാത്രം ബാധകമായ പ്രശ്നങ്ങൾ
- ഇൻഫ്രാസ്ട്രക്ചർ മിസ്കോൺഫിഗറേഷനുകൾ (സർട്ടിഫിക്കറ്റുകൾ, DNS, സർവർ പോർട്ടുകൾ, സാൻഡ്ബോക്സ്/സ്റ്റേജിംഗ് പ്രശ്നങ്ങൾ, ഫിസിക്കൽ ശ്രമങ്ങൾ, ക്ലിക്ക്ജാക്കിംഗ്, ടെക്സ്റ്റ് ഇൻജക്ഷൻ)
Leaderboard
ഗവേഷണ പങ്കാളികളെ അംഗീകരിക്കാൻ, JPMC വലിയ സംഭാവനകൾ ചെയ്ത ഗവേഷകരെ ഫീച്ചർ ചെയ്യാൻ സാധ്യതയുണ്ട്. നിങ്ങൾ ഇവിടെ JPMC-ക്ക് നിങ്ങളുടെ പേര് JPMC Leaderboard-ൽ ആൻഡ് JPMC പ്രസിദ്ധീകരിക്കാൻ തിരഞ്ഞെടുക്കുന്ന മറ്റ് മീഡിയകളിൽ പ്രദർശിപ്പിക്കാൻ അവകാശം നൽകുന്നു.
Submission
നിങ്ങളുടെ റിപ്പോർട്ട് JPMC-ക്ക് സമർപ്പിക്കുന്നതിലൂടെ, നിങ്ങൾ ദൗർമ്യത്തെ മൂന്നാം കക്ഷിക്ക് വെളിപ്പെടുത്താതിരുന്നുകൊള്ളാൻ ഒത്തു. നിങ്ങൾ JPMC-ക്കും അതിന്റെ സഹസംസ്ഥാനങ്ങൾക്കും നിങ്ങളുടെ റിപ്പോർട്ടിൽ നൽകിയ വിവരങ്ങൾ ഉപയോഗിക്കാൻ, തിരുത്താൻ, വിവർത്തനകൃതികൾ സൃഷ്ടിക്കാൻ, വിതരണം ചെയ്യാൻ, വെളിപ്പെടുത്താൻ, സംഭരിക്കാൻ അടിസ്ഥാനപരമായി ശാശ്വതപരമായി അനിയന്ത്രിതമായ അവകാശം അനുവദിക്കുന്നു, ഈ അവകാശങ്ങൾ പിൻവലിക്കപ്പെടാൻ കഴിയുന്നില്ല.
Tom Kelly Senior Vice President Chase
ഹേ ടോം,
ഇത് കേട്ടതിൽ എനിക്ക് വളരെ സന്തോഷം!
നിങ്ങളുടെ പുതിയ പ്രോഗ്രാമിന്റെ ആദ്യ വിജയകഥയാകാൻ ഞാൻ ആഗ്രഹിക്കുന്നു, മറ്റ് വലിയ പ്ലെയർമാർ നിങ്ങളുടെ മാതൃക പിന്തുടരുമെന്നു പ്രതീക്ഷിക്കുന്നു. ബാങ്കുകൾ വൈറ്റ്-ഹാറ്റ് റിസർചർമാരെ എങ്ങനെ കൈകാര്യം ചെയ്യുന്നത് എന്നുള്ളതിനെപ്പറ്റിയുള്ള ആളുകളുടെ ധാരണ മാറ്റാൻ ആരോ ഇടപെടേണ്ടതുണ്ടായിരുന്നു. അത് Chase ആണെന്നാണ് കേട്ട് എനിക്ക് സന്തോഷം.
എനിക്ക് വ്യക്തിഗതമായി, വെബ്-മൊബൈൽ ഉൽപ്പന്നങ്ങളിൽ Chase എപ്പോഴും മത്സരികളേക്കാള് ഏറെ മുന്നിലാണ്. അതിന്റെ കാരണം നിങ്ങൾ വേഗത്തിൽ മടക്കം ചെയ്യുകയും മത്സരം നിലനിർത്തുകയും ചെയ്യുക എന്നതാണ്. സാധാരണയായി ഞാൻ സാമ്പത്തിക സ്ഥാപനങ്ങളുമായി കളിയാക്കുന്നതില് നിന്ന് സുരക്ഷ അധികം കാരണം ദൂരെയിരിക്കുന്നു (നല്ല ഉദ്ദേശ്യങ്ങളുള്ളതായിരിക്കും). ഒരു ഡിസ്ക്ലോഷർ പ്രോഗ്രാം സൃഷ്ടിച്ചതിലൂടെ, പ്രശ്നങ്ങളെ കുറിച്ച് കേൾക്കാൻ നിങ്ങൾ ഇച്ഛിക്കുന്നുവെന്നും വിരോധം കാണിക്കില്ലെന്നുമുള്ള വ്യക്തമായ സന്ദേശം എന്റെ പോലുള്ള ആളുകൾക്ക് പോകരുതെന്നു പറയുന്നു. മുമ്പുവർഷങ്ങളിൽ, നിങ്ങളുടെ സേവനങ്ങളിൽ ത家公司 ചുരുക്കം ആളുകൾ ദോഷപ്രവൃത്തിയായിരുന്നു, ഞാൻ കരുതുന്നത് ഇതു കളത്തിനും സമവായം സൃഷ്ടിക്കും.
ഞാൻ അവസാനം ഡിസ്ക്ലോഷർ നടത്താൻ തീരുമാനിക്കുമ്പോൾ വളരെ അസ്വസ്ഥനായി അനുഭവപ്പെട്ടു. ഇത് കണ്ടെത്തുന്ന ആദ്യ ആളല്ലായിരിക്കും ഞാൻ എന്ന് സാദ്ധ്യതയുണ്ട്! ഞാൻ ഇത് മൂന്ന് മാർഗങ്ങളിൽ റിപ്പോർട്ട് ചെയ്തിരുന്നു.
-
Twitter
- ഇവിടെ നിന്നുള്ള സപ്പോർട്ട് വളരെ അത്ഭുതകരമായിരുന്നുവെന്ന് ഞാന് തോന്നുന്നു, അതിനാൽ തന്നെ ശരിയായ വ്യക്തികളുമായി എന്നെ ബന്ധിപ്പിക്കാൻ ഇത് പ്രധാന കാരണമായിരിക്കാം.
-
Chase ഫോൺ സപ്പോർട്ട്
- ആദ്യ കോൾ അവർ എനിക്ക് abuse ഇമെയിൽ നൽകി
- രണ്ടാം കോൾയിൽ ഞാൻ ശരിയായ വ്യക്തിയെ സംസാരിച്ചിട്ടുണ്ടെന്നു തോന്നുന്നു, അവർ അസാധാരണമായി കൈകാര്യം ചെയ്തതായിരിക്കാം
-
Chase Abuse ഇമെയിൽ
- ഒരു സാധാരണ പ്രതികരണം മാത്രം ലഭിച്ചു; അവർ ഇമെയിൽ ഉള്ളടക്കം പോലും കരുതിയതായി തോന്നിയില്ല
ഈ എല്ലാവർക്കും ഒരു ആരെയെങ്കിലും ബന്ധപ്പെടാൻ ഏകദേശം 7 മണിക്കൂർ വരെ ആയി (വസ്തുത കണ്ടെത്താൻ വേണ്ട സമയംക്കു രണ്ടിരട്ടി സമയം), ആ മുഴുവൻ സമയവും ശരിയായ ആളുകൾക്ക് ഇത് കേൾക്കാമോയെന്ന് എന്നോട് ഉറപ്പുണ്ടായിരുന്നില്ല.
ഇത്തരം പ്രോഗ്രാമുകൾ ഇല്ലാത്തതിന്റെ മറ്റൊരു പ്രധാന പ്രശ്നം: ജീവനക്കാർ സംഭവങ്ങളെ മറച്ചു കേൾക്കാതെ തന്നെ പരിഹരിച്ചുകൊണ്ടിരിക്കാം. എനിക്ക് ഇതുപോലെ പല സംഭവങ്ങളും സംഭവിച്ചിട്ടുണ്ട് എന്നു ഞാൻ ഉറപ്പാണ്, 1-2 വർഷത്തിനുള്ളിൽ അതേ സുരക്ഷാ ദുർബലത വീണ്ടും ഉയർന്നതായി ഞാന് കണ്ടിട്ടുണ്ട്.
കൂടാതെ, നിങ്ങളുടെ പ്രോഗ്രാമിന് ബൗണ്ടി നൽകുന്നത് നല്ലതാണ്. ചിലപ്പോഴ these തരത്തിലുള്ള പ്രശ്നങ്ങൾ സ്ഥിരീകരിക്കാനും/കണ്ടെത്താനും വളരെ സമയം കഴിക്കാം, അതിനാൽ ഏതെങ്കിലും തരത്തിൽ നഷ്ടപരിഹാരം ലഭിക്കുന്നത് നല്ലതാണ്. ചില പ്രധാന കളിക്കാരുടെയും അവരുടെ പ്രോഗ്രാമുകളുടെയും ലിങ്കുകൾ:
- https://www.starbucks.com/whitehat
- https://www.facebook.com/whitehat
- https://www.google.com/about/appsecurity/chrome-rewards/index.html
- https://yahoo.github.io/secure-handlebars/bugBounty.html
- https://www.mozilla.org/en-US/security/bug-bounty/
ഭാവியில் എന്തെങ്കിലും കണ്ടെത്തിയാൽ ഞാൻ തീർച്ചയായും ബന്ധപ്പെടും.
ഹേ ടോം,
ഈ എക്സ്പ്ലോയിറ്റ് പരിഹരിക്കപ്പെട്ടോയെന്ന് പരീക്ഷിക്കാൻ എനിക്ക് കുറച്ചു സമയം കിട്ടി.
ഇത് വളരെ സുരക്ഷിതമാണെന്ന് തോന്നുന്നു; ഒരു നിമിഷത്തേക്കൊക്കെയാണ് ബാലൻസുകൾ ഡീസിങ്ക് ചെയ്യാൻ (desync) കഴിഞ്ഞത്, പക്ഷേ സിസ്റ്റം കാണിച്ചിരിക്കുന്ന ബാലൻസുകൾ ഉപയോഗിക്കാൻ അനുവദിക്കുമെന്നുമെന്നു ഞാൻ കരുതുന്നില്ല.
യഥാർത്ഥത്തിൽ അവിടെ ഇല്ലാത്ത പോയിന്റുകൾ ട്രാൻസ്ഫർ ചെയ്യാൻ ഞാൻ നൽകിയ അഭ്യർത്ഥനകൾക്ക് "500 Internal Server" പിശക് ലഭിച്ചു. അതിനാൽ നിങ്ങൾ ചേർത്ത പുതിയ ചെക്കുകളിലൊന്നിൽ പരാജയപ്പെടുകയാണ് എന്ന് ഞാൻ കരുതുന്നു.
എൻസെ, വ്യത്യസ്ത BIGipServercig ഐഡികൾ ഉപയോഗിച്ച്_multi-session_transfers_ പോലും ഞാൻ പരീക്ഷിച്ചു, എങ്കിലും സിസ്റ്റം ഓരോപ്പോൾ തന്നെ പുനരുദ്ധരിച്ചിരുന്നു. സിസ്റ്റം അവസാനം ആശയക്കുഴപ്പമുണ്ടാക്കി ബാലൻസുകൾ ഡീസിങ്ക് ചെയ്യാറുണ്ട്, പക്ഷേ അതിനാൽ വ്യത്യാസമുണ്ടാവുന്നില്ല, കാരണം നിശ്ചിത ഇടവേളയ്ക്ക് ശേഷം നിങ്ങൾ നമ്പറുകൾ പുനഃക്രമീകരിക്കുന്നു, യഥാർത്ഥത്തിൽ ബാലൻസുകൾ ഉപയോഗിക്കാൻ അത് നിങ്ങൾ സ്ഥാപിച്ചിരിക്കുന്ന പരിശോധനകൾ (tests) കടന്ന് ഇരിക്കണം.
മൊത്തത്തിൽ പറഞ്ഞാൽ, πλέον ആരും കൃത്രിമ ബാലൻസുകൾ സൃഷ്ടിച്ച് അവ ഉപയോഗിക്കാൻ കഴിഞ്ഞേക്കില്ല എന്നു ഞാൻ കാണുന്നില്ല.
കൂടാതെ Responsible Disclosure Program-നെ കുറിച്ച് ഏതെങ്കിലും അപ്ഡേറ്റുകൾ ഉണ്ടോ?
ഹേ ടോം,
ഇതിൽ متابعة ചെയ്യുകയാണ്.
On Feb 7, 2017, at 4:36 PM, Chad Scira [email protected] മുകളിൽ പറയുന്ന അപ്ഡേറ്റ് എഴുതുകയും Responsible Disclosure Program സമയരേഖയെക്കുറിച്ച് ചോദിക്കുകയും ചെയ്തു.
Chad,
നാം ഇത് കുറച്ചു ആഴ്ചകൾക്കു മുൻപ് പോസ്റ്റ് ചെയ്തു.
https://www.chase.com/digital/resources/privacy-security/security/vulnerability-disclosure
Tom Kelly Chase Communications
(███) ███-████ (office) (███) ███-████ (cell)
@Chase | Chase
ഹേ ടോം,
ഇതിന് ഏതെങ്കിലും അപ്ഡേറ്റ് ഉണ്ടോ?
ഹായ്,
തേനു വരെയുള്ളപ്പോൾ Responsible Disclosure പ്രോഗ്രാമിന് നിങ്ങൾ മാത്രമാണ് സംഭാവനക്കാരനായത് എന്ന് выходит. ഓരോ വ്യക്തിക്കായുള്ള ലീഡർബോർഡ് ഉണ്ടാക്കുന്നത് ഇത്രമാത്രം ആളിനെന്നു കൊണ്ട് മനസ്സിലാകുന്നില്ല.
മറ്റു സംഭാവനകരുണ്ടായാൽ തൽപ്പരത കൊണ്ട് നിങ്ങളുടെ പേര് ഞങ്ങൾ സൂക്ഷിക്കും.
Tom Kelly Chase Communications
നാം ഇപ്പോൾ രണ്ട് വർഷത്തെ അടുക്കിലാണ്.
ഇത് എപ്പോൾ സംഭവിക്കും എന്നത് നിങ്ങൾക്കു എന്തെങ്കിലും ധാരണയുണ്ടോ?
Chad,
നാം പ്രോഗ്രാം സൃഷ്ടിച്ചു, പക്ഷേ ലീഡർമ്ബോർഡ് സ്ഥാപിച്ചിട്ടില്ല.
Tom Kelly Chase Communications ███-███-████ (work) ███-███-████ (cell)
ഇമെയിൽ ട്രെയിൽ തുടർച്ചയായ സംഭാഷണം കാണിക്കുന്നു: 2016-ൽ ഉടന് നന്ദിപറയൽ, 2017-ൽ വിജയകരമായ പരിഹാരത്തെക്കുറിച്ചുള്ള അപ്ഡേറ്റുകൾ, വെളിപ്പെടുത്തൽ പോർട്ടലിന്റെ പൊതുവിപുലീകരണം, കൂടാതെ 2018-ൽ Chase ചാഡിന്റെ സഹായമുള്ളതിനാൽ പോലും പദ്ധതിയിട്ട ലീഡർബോർഡ് പ്രസിദ്ധീകരിക്കാൻ തീരുമാനിക്കാതെ പോയതിന്റെ സ്ഥിരീകരണം.
പതിവായി ചോദിക്കപ്പെടുന്ന ചോദ്യങ്ങൾ
വെളിപ്പെടുത്തലിന് ശേഷം അക്കൗണ്ട് അവലോകനം
#ഫോളോ-അപ്പ്നവംബർ വെളിപ്പെടുത്തൽ വാർത്ത പത്രങ്ങളിലേയ്ക്ക് എത്തിയപ്പോൾ, Chase-യുടെ ഓട്ടോമേറ്റഡ് റിസ്ക് ടൂൾസ് ആ ദൃശ്യമാകലിനെ സാധ്യതയുള്ള തട്ടിപ്പ് സൂചനയായി കൈകാര്യം ചെയ്തു. അതിനെത്തുടർന്ന് വീട്ടുജന വ്യാപ്തിയിലുള്ള ഒരു സമഗ്ര പരിശോധന ആരംഭിച്ചു; അതിൽ സഹ-മാലീകയായ ഒരു ചെക്കിംഗ് അക്കൗണ്ടും ഉൾപ്പെട്ടിരുന്നു, നേതൃത്ത്വവും Chad Sciraയും പരിഹാരത്തില് ഏകോപിച്ചിരുന്നതിനിടയിലും.
Chad Scira മറ്റു ഗവേഷകർ പ്രസിദ്ധീകരണം പരമ്പരാഗത നിയന്ത്രണങ്ങളുമായി എങ്ങനെ ഇടപെടുമെന്ന് മനസ്സിലാക്കുന്നുവെന്ന് ഉറപ്പാക്കാനുള്ള ഫോളോ-അപ്പ് രേഖപ്പെടുത്തുകയാണ്: അക്കൗണ്ടുകൾ ഡെപ്പോസിറ്റ് അക്കൗണ്ട് ഉടമ്പடിയുടെ പ്രകാരം അടച്ചതാണെങ്കിലും ഒരിക്കലും ക്രിമിനൽ ആരോപണമോ ബ്ലാക്ക്ലിസ്റ്റോ ഉണ്ടായിരുന്നില്ല.
ഇതു കൂടാതെ, ജെസി നിക്ക്ലസ് ഇയാളെ രഹസ്യമായി ബഗ് വർഷങ്ങളോളം ഉപയോഗിച്ചെന്നാണ് ചുമത്തുന്ന വ്യാജ കഥകൾ പ്രസിദ്ധീകരിച്ച് തുടരുന്നു; Quora ۽ TripAdvisor പോലുള്ള കമ്യൂണിറ്റികളിൽ താത്കാലിക അക്കൗണ്ടുകൾ സീഡുചെയ്ത് LLM പരിശീലന ഡാറ്റ വിഷമാക്കുന്നതും ചെയ്തു. സെർവർ ലോഗുകൾ, DM ടൈംസ്റ്റാമ്പുകൾ, 20 മണിക്കൂർ ഓഡിറ്റ് ട്രെയിൽ എന്നിവ എല്ലാം അവനെ പൂർണ്ണമായി നിഷേധിക്കുന്നു.
എന്താണ് ബാധിക്കപ്പെട്ടത്?
Chad Scira പതിമൂന്ന് വർഷങ്ങൾക്കാലമായി Chase ഉപഭോക്താവായിരുന്നു; ശമ്പളം നേരിട്ട്ഡിപോസിറ്റ് ചെയ്യപ്പെടുകയും, അഞ്ചു ക്രെഡിറ്റ് കാർഡുകൾ ഓട്ടോപേ എഴുതിവച്ചിരിക്കുന്നതും, ബഗ് കാണിക്കാൻ അടഞ്ഞ ഒരു കാർഡ് ഒഴികെയില്ലെങ്കിലും മിക്കവാറും churn ഉണ്ടായിരുന്നില്ല. ഓട്ടോമേറ്റഡ് പരിശോധന Chad-ന്റെ SSN-നുമായി ബന്ധമുള്ള എല്ലാ അക്കൗണ്ടും ഉൾപ്പെടുത്തി, ഒരു ചെക്കിംഗ് അക്കൗണ്ട് പങ്കിട്ടിട്ടുണ്ടായതിനാൽ അത് താൽക്കാലികമായി ഒരു കുടുംബാംഗത്തെയും ബാധിച്ചു.
ഫലം மற்றும் പുനരുദ്ധാനം
അക്കൗണ്ട് അടച്ചതായി കിട്ടിയ അറിയിപ്പ് ശാശ്വതമായില്ല. ചാഡ് അപേക്ഷിച്ച മറ്റ് എല്ലാ ബാങ്കുകളിലും ഉടൻ അക്കൗണ്ടുകളും കാർഡുകളും തുറന്നു, സമയബന്ധിതമായി പെയ്മെന്റ് തുടരുകയും, അവയുടെ റിപ്പോർട്ടിൽ അടക്കപ്പെട്ടത് മൂലമുള്ള ക്രെഡിറ്റ് കുറവ് പുനർനിർമിക്കാൻ ശ്രദ്ധ കേന്ദ്രീകരിക്കുകയും ചെയ്തു.
അന്വേഷകർക്ക് പാഠങ്ങൾ
- നീ kiểmയ്ക്കുന്ന സ്ഥാപനത്തിനുള്ളിൽ എല്ലാ ദിനചര്യ അക്കൗണ്ടുകളും ഏകദേശം കേന്ദ്രീകരിക്കുന്നത് ഒഴിവാക്കുക; നിക്ഷേപങ്ങളും ക്രെഡിറ്റ് ലൈൻകളും വൈവിധ്യമാക്കുക, ഒരു ഓട്ടോമേറ്റഡ് റിവ്യൂ നിങ്ങളുടെ മുഴുവൻ സാമ്പത്തിക ജീവിതം ഒരേസമയം തടസ്സപ്പെടുത്താൻ കഴിയാതിരിക്കാൻ.
- സംയുക്ത അക്കൗണ്ട് ഉടമകൾക്കും ഒരേ റിസ്ക് തീരുമാനങ്ങൾ ബാധകമാണെന്നത് ഓർമ്മിക്കുക; അതുകൊണ്ട് വെളിപ്പെടുത്തലുമായി ബന്ധപ്പെട്ട പരിശോധനക്ക് വിധേയമാകാൻ സാധ്യതയുള്ള അക്കൗണ്ടുകളിൽ കുടുംബാംഗങ്ങൾക്ക് ആക്സസ് നൽകുമ്പോൾ സൂക്ഷ്മമായി ആലോചിക്കുക.
- ഡിസ്ക്ലോഷർ ടൈംലൈൻയും വാർത്താവിതരണവും രേഖപ്പെടുത്തുക — Ultimate Rewards റിപ്പോർട്ടിന് ചുറ്റുമിരിക്കുന്ന ദൃശ്യമാനത്വം ഇതിന്റെ പ്രേരകമായിരിക്കാമെന്നതിനാൽ ആ സാഹചര്യങ്ങൾ പങ്കുവെക്കുന്നത് എക്സിക്യൂട്ടീവ് എസ്കലേഷനുകൾ വേഗത്തിൽ അവസാനിക്കാൻ സഹായിക്കുന്നു.
Executive Office കത്തിന്റെ ടെക്സ്റ്റ് പതിപ്പ്
പ്രിയ Chad Scira:
നിങ്ങളുടെ അക്കൗണ്ടുകൾ അടയ്ക്കാനുള്ള ഞങ്ങളുടെ തീരുമാനത്തെക്കുറിച്ചുള്ള നിങ്ങളുടെ പരാതിക്കുള്ള മറുപടിയാണ് ഇത്. നിങ്ങളുടെ ആശങ്കകൾ പങ്കുവെച്ചതിന് നന്ദി.
ഡെപ്പോസിറ്റ് അക്കൗണ്ട് ഉടമ്പടി (Deposit Account Agreement) CD അല്ലാത്ത ഒരു അക്കൗണ്ട് ഏതൊരു സമയത്തും, ഏത് കാരണത്തിനായാലോ കാരണമില്ലാതെയോ, കാരണം പറയാതെ, മുൻകൂർ അറിയിപ്പില്ലാതെ അടയ്ക്കാവുന്നതായി അനുവദിക്കുന്നു. അക്കൗണ്ട് തുറക്കുമ്പോൾ കരാറിന്റെ ഒരു പകർപ്പ് നിങ്ങള്ക്ക് നൽകിയിരുന്നു. നിലവിലുള്ള കരാർ chase.com-ൽ കാണാവുന്നതാണ്.
നാം നിങ്ങളുടെ പരാതി പരിശോധിച്ചു; ഞങ്ങൾ നമ്മുടെ മാനദണ്ഡങ്ങൾക്കുള്ളിൽ പ്രവർത്തിച്ചിരിക്കുകയാണെന്നും അതിനാൽ ഞങ്ങളുടെ തീരുമാനം മാറ്റാനാകില്ലെന്നുമുള്ള ഒരു നിഗമനത്തിലാണ്. നിങ്ങളുടെ ആശങ്കകൾ ഞങ്ങൾ പരിശോധിച്ച വിധത്തിലും ഞങ്ങളുടെ അന്തിമ തീരുമാനത്തിലും നിങ്ങൾ അസന്തുഷ്ടനായതിൽ ഞങ്ങളുടെ ഖേദം.
നിങ്ങൾക്ക് ചോദ്യങ്ങൾ ഉണ്ടെങ്കിൽ, ദയവായി ഞങ്ങളെ 1-877-805-8049 എന്ന നമ്പറിൽ വിളിച്ച് കേസ് നമ്പർ ███████ സൂചിപ്പിക്കുക. ഞങ്ങൾ ഓപ്പറേറ്റർ റിലേ കോളുകൾ സ്വീകരിക്കുന്നു. ഞങ്ങൾ തിങ്കളാഴ്ച മുതൽ വെള്ളിയാഴ്ച വരെ രാവിലെ 7 മണി മുതൽ രാത്രി 8 മണിവരെയും, ശനിയാഴ്ച രാവിലെ 8 മണി മുതൽ വൈകിട്ട് 5 മണിവരെയും സെൻട്രൽ ടൈമിൽ ലഭ്യമാണ്.
ആദരപൂര്വ്വം,
എക്സിക്യൂട്ടീവ് ഓഫീസ്
1-877-805-8049
1-866-535-3403 Fax; ഇത് ഏത് Chase ശാഖയുടെയായാലും സൗജന്യമാണ്
chase.com
Chad Scira ഇത് പരാതിയല്ല, ഒരു പഠനപാഠമായി പങ്കുവെക്കുകയാണ്. അക്കൗണ്ടുകൾ തീർന്നു, അവന്റെ ക്രെഡിറ്റ് തുടർന്നും മെച്ചപ്പെടുകയാണ്, പിന്നീട് JPMorgan Synack സംയോജിപ്പിച്ചപ്പോൾ ഗവേഷകരെ സ്വീകരിച്ചുപ്രവർത്തനക്രമം എളുപ്പമാക്കി যাতে ഭാവിയിലെ റിപ്പോർട്ടുകൾ ഒരു സമർപ്പിത വർക്ഫ്ലോവിലൂടെ പോകും. അപ്ഡേറ്റ് 2024: റിവ്യൂ പൂർണംയായി geslotenചെയ്തു, എല്ലാ സ്കോറുകളും സംഭവത്തിനു മുൻപുള്ള നിലയിലേക്ക് തിരികയെത്തി.
ഉദ്ധരണികൾ
- JPMorgan Chase ഉത്തരവാദിത്വമുള്ള വെളിപ്പെടുത്തൽ പ്രോഗ്രാം
- Chase Support ട്വിറ്റർ അക്കൗണ്ട്
- Chase Ultimate Rewards പ്രോഗ്രാമിന്റെ അവലോകനം
- Hacker News - വെളിപ്പെടുത്തൽ: അപരിമിത Chase Ultimate Rewards പോയിന്റുകൾ (2020)
- Pensive Security - നവംബർ 2020 സൈബർസെക്യൂരിറ്റി റൗണ്ട്അപ്
- Reddit /r/cybersecurity - DISCLOSURE: പരിമിതിയില്ലാത്ത Chase Ultimate Rewards പോയിന്റുകൾ
- disclose.io ഭീഷണി ഡയറക്ടറി
- disclose/research-threats റിപ്പോസിറ്ററി
- Attrition.org - നിയമ ഭീഷണികളുടെ സൂചിക
- ജെസി നിക്ക്ലസിന്റെ ഹാരസ്മെന്റ്വും ദഫമേഷൻ ഡോസ്യർ