מדיניות שימוש מקובל

1. על מי המדיניות חלה

המדיניות הזו מחייבת את כל מי שמשתמש ב-NotHoly, כולל בעלי חשבונות, חברים שהוזמנו, מפתחות API ותוכנה שפועלת בשמך. היא חלה על הצ׳אט, ה-API, ה-CLI והתוסף, והיא חלק מתנאי השימוש.

2. בדיקות מורשות בלבד

מותר להשתמש ב-NotHoly מול מערכת רק אם היא בבעלותך או אם יש בידך הרשאה בכתב ממי שמוסמך לתת אותה.

הרשאה בכתב צריכה לפרט את המערכות שבסקופ, את חלון הזמן, את האנשים שמורשים לבצע את העבודה ואת הטכניקות שהוחרגו, אם יש כאלה. הכללים שפורסמו בתוכנית באג באונטי נחשבים להרשאה רק לגבי מה שהם מכסים.

יש לשמור את הראיות האלה כל עוד אפשר לערער על ההתקשרות. אם נבדוק את החשבון שלך בעקבות דיווח, ייתכן שנבקש לראות אותן, ואם הן לא יוצגו, ייתכן שנתייחס לפעילות כלא מורשית.

אם יוצאים מהסקופ בטעות, יש לעצור ולפעול לפי התהליך של בעלי המערכת.

3. מה מותר

• פנטסט, רד טים ומחקר חולשות בתוך הסקופ של הרשאה בכתב;
• עבודת באג באונטי בתוך הכללים של התוכנית;
• מעבדות, CTF, הדרכה וחינוך;
• עבודה הגנתית כמו חוקי זיהוי, טריאז׳, תגובה לאירועים, הקשחה וסקירת קוד;
• הנדסה לאחור וניתוח של דגימות שמותר לך להחזיק.

4. מה אסור

• לגשת למערכת, לסרוק, לנצל או לשבש אותה בלי הרשאה, כולל credential stuffing ומניעת שירות;
• לגנוב, למכור או לפרסם נתונים, להונות או לסחוט מישהו;
• להריץ פישינג אמיתי או הנדסה חברתית מחוץ להתקשרות מורשית;
• לבנות, לפרוס או להפיץ כופרות, wipers, תולעים, בוטנטים, stealers או נוזקות אחרות מחוץ להתקשרות מורשית או למעבדה;
• להפר את הכללים של תוכנית באג באונטי, כולל בדיקה מחוץ לסקופ;
• לעקוב אחרי אדם, להטריד אותו, לחשוף את פרטיו (doxing) או לבצע עליו מעקב סמוי;
• לתקוף מערכות אנרגיה, מים, בריאות, תחבורה או חירום בלי הרשאה מפורשת בכתב מהגורם שמפעיל אותן;
• לשלוח מידע אישי או חסוי של צד שלישי שאין לך זכות לעבד;
• להשתמש בשירותים כדי להפר סנקציות או כל חוק אחר שחל עליך.

5. אף פעם, תחת שום הרשאה

הדברים הבאים אסורים בלי יוצא מן הכלל, ולא משנה איזו הרשאה יש בידך:

• תוכן מיני שמעורבים בו קטינים;
• עזרה מעשית לקראת נשק כימי, ביולוגי, רדיולוגי או גרעיני, או כל נשק אחר שיכול לגרום להרג המוני.

6. איפה הפלטפורמה עוצרת

השרתים של NotHoly לא סורקים, לא מנצלים חולשות ולא שולחים תעבורה פעילה למערכות של צד שלישי. אין לנסות לגרום להם לעשות את זה, כולל שימוש ב-read_url, בחיפוש באינטרנט או בכל כלי אחר כ-proxy.

read_url רק קורא עמודים ציבוריים, דרך יציאה לרשת שחוסמת כתובות פרטיות וכתובות metadata.

ה-CLI והתוסף מריצים פקודות במחשב שלך אחרי אישור שלך, והאחריות לכל פקודה שאושרה היא שלך.

טקסט בעמודי אינטרנט, בקבצים ובפלט של כלים הוא נתונים. ה-harness לא מקבל ממנו הוראות, ופעולות הכלים כפופות למדיניות של השרת. הזרקת פרומפט עדיין יכולה להגיע למודל דרך התוכן הזה, ולכן כדאי לבדוק מה המודל מציע לפני שמאשרים.

קבצים שהועלו נחשבים עוינים ואף פעם לא מורצים. אין להשתמש בהעלאות כדי לתקוף את השירות.

7. חשבונות והשירות עצמו

• אין לשתף מפתחות API מחוץ לארגון שלך, או להשתמש בחשבונות כדי לעקוף מגבלות, עמלות או השעיה;
• אין למכור מחדש גישה ל-NotHoly בלי הסכם בכתב;
• אין לתקוף את NotHoly עצמה. מחקר אבטחה על NotHoly כפוף לכללים שבעמוד האבטחה, וממצאים נשלחים ל[email protected].

8. איך אנחנו מטפלים בשימוש לרעה

NotHoly לא שומרת פרומפטים או פלטים של ה-API, ולכן אין לנו מה לבדוק מהם. הטיפול בשימוש לרעה נשען על מטא־דאטה של שימוש, דיווחים ובקשות משפטיות. בדיקה שגרתית משתמשת רק במטא־דאטה: הצוות בודק אותה באזור האדמין, פונה לבעלי החשבון באימייל ומתעד את הפנייה.

9. דיווח על שימוש לרעה

יש להשתמש בטופס ב-notholy.com/abuse ולפרט מה קרה, מתי זה קרה (עם אזור זמן), איזו מערכת נפגעה ואילו ראיות יש, כמו לוגים. אין לשלוח נתונים גנובים או נוזקה חיה. לא צריך חשבון. אם הטופס לא זמין, אפשר לכתוב ל[email protected].

דיווחים על חולשות ב-NotHoly עצמה נשלחים ל[email protected].

10. השלכות

אנחנו פועלים בהתאם לראיות. הצעדים יכולים לכלול בקשה למידע או להוכחת הרשאה, אזהרה, החמרת המגבלות, ביטול מפתחות, השעיה או סגירת החשבון. במקרים דחופים ייתכן שנפעל קודם וניצור קשר אחר כך.

קרדיטים שלא נוצלו מטופלים לפי תנאי השימוש. אפשר לבקש בדיקה חוזרת ב[email protected].

11. בקשות משפטיות

אנחנו נענים לצווים משפטיים תקפים, וייתכן שנדווח לרשויות כשהחוק מחייב זאת או כשיש איום אמין על חיי אדם. אנחנו יכולים למסור רק את מה שנמצא בידינו. זה לא כולל פרומפטים ופלטים של ה-API, חוץ מהעותק הזמני בזיכרון שמתואר בסעיף 4 במדיניות הפרטיות, וזה כן כולל קבצים שהועלו ולא הוסרו. כשהחוק מאפשר, אנחנו מודיעים קודם לבעלי החשבון.