책임 있는 정보 공개 정책

시행일: 2025년 6월 18일 

최종 업데이트: 2025년 6월 18일 

Addverb Technologies Private Limited 및 자회사(“Addverb”)는 보안을 매우 중요하게 생각합니다. 당사는 독립적인 보안 연구원들이 최고 수준의 사이버 보안을 유지하는 데 중요한 역할을 한다는 것을 인지하고 있습니다. 본 책임 있는 정보 공개 정책(“정책”)은 보안 연구원이 Addverb의 디지털 자산에서 발견될 수 있는 잠재적인 보안 취약점을 합법적이고 책임감 있으며 윤리적인 방식으로 보고할 수 있는 절차를 설명합니다. 

본 정책을 준수함으로써 보안 연구원들은 시스템의 전반적인 안전과 복원력 향상에 기여할 수 있으며, 동시에 본 정책에 명시된 조항을 엄격히 준수하는 한 법적 조치로부터 보호받을 수 있습니다. 

정책의 범위 

이 정책은 Addverb가 운영 또는 관리하는 addverb및 해당 하위 Addverb 중 공개적으로 접근 가능한 도메인으로 명시적으로 분류된 모든 도메인에 적용됩니다. 

본 정책은 다음을 허용하지 않습니다: 

1. 의도된 범위를 벗어난 시스템 접근. 

2. 비공개 자산 또는 제3자 자산에 대한 테스트. 

3. 관련 법률 위반. 

본 정책에서 "보안 연구원"이란 본 정책에 따라 보안 취약점을 보고할 목적으로 선의로 Addverb의 시스템, 서비스 또는 제품과 상호 작용하는 개인 또는 단체를 의미합니다. 여기에는 윤리적 해커, 독립 연구원, 버그 바운티 헌터 및 기타 보고서를 제출하는 모든 당사자가 포함됩니다. 

책임 있는 정보 공개 절차 

모든 보안 연구원 여러분께 다음 사항을 요청드립니다 

1. 선의로 행동하고 법의 테두리 안에서 행동하십시오. 

2. Addverb 또는 그 고객에게 피해, 차질 또는 손실을 초래할 수 있는 어떠한 행위도 삼가십시오. 

3. 문제 재현 단계, 잠재적 영향 및 권장 해결 방안을 포함한 상세 보고서를 제공하십시오. 

4. Addverb 사전에 명시적인 서면 허가를 받기 전까지는 취약점을 대중이나 제3자에게 공개하지 마십시오. 

보고 

취약점을 신고하시려면 [email protected] 

보고서에는 다음 내용이 포함되어야 합니다 

1. 취약점에 대한 명확한 설명. 

2. 발견 날짜와 시간. 

3. 예상 영향 

4. 영향을 받는 서비스 또는 URL. 

5. 문제 재현을 위한 단계별 지침입니다. 

6. 관련 스크린샷, 로그 또는 개념 증명 코드. 

7. 권장 해결 방법 

Addverb 접수 후 7영업일 이내에 접수 확인을 해드리며, 기술적으로 합리적인 시간 내에 타당한 문제를 검토하고 해결하기 위해 노력합니다. Addverb 질이 낮은 보고서를 다량 제출하는 당사자의 제출물을 무시할 수 있습니다. 

제외 사항 

• 보안에 영향을 미치지 않는 취약점은 이 프로그램의 범위에서 제외됩니다. 

• 검증 가능한 스푸핑 증거가 없는 SPF/DMARC/DKIM 레코드 관련 취약점  

• 보안 표시가 되어 있지 않은 비세션 쿠키 및 HTTP 전용 쿠키, SSL/TLS 구성, 보안 헤더 누락 등과 같은 모범 사례 관련 문제. 

• 자동화 도구 및 스캐너에서 추가적인 개념 증명 없이 보고된 취약점 

• 서비스 거부(DoS) 공격 및 분산 서비스 거부(DDoS) 공격 

• 스팸, 무차별 대입 공격 또는 개인 데이터 관련 테스트. 

• 피해자의 기기에 물리적으로 접근해야 하는 공격 기법 

• 호스트 헤더 주입 

• 개념 증명(Proof of Concept)이 없는, 이전에 취약한 것으로 알려진 라이브러리 

• 스푸핑 공격이나 피싱으로 이어지는 모든 공격(예: 이메일 스푸핑, 가짜 로그인 페이지를 이용한 로그인 자격 증명 탈취) 

• 극히 드문 사용자 상호 작용을 필요로 하는 버그, 즉 소셜 엔지니어링 공격(특히 사용자 및 Addverb 직원을 대상으로 함). 

• 제3자 API 키 유출은 아무런 영향도 미치지 않거나 공개되어야 하는 키입니다. 구체적으로는 구글 지도 API 키와 안드로이드 XML 파일에 포함된 키가 노출된 경우입니다.  

• 옵션/추적 HTTP 메서드 활성화됨 

• 알려진 공개 파일 또는 디렉터리 공개(예: robots.txt, CSS/이미지 등) 

• 애플리케이션이나 웹 브라우저에 '자동 완성' 또는 '비밀번호 저장' 기능이 있는지 여부 

• 웹 브라우저 추가 기능 등과 같은 소프트웨어를 피해자의 컴퓨터에 설치해야 하는 모든 종류의 취약점 

• 양식(예: 뉴스레터 구독/문의하기 페이지)에 대한 무차별 대입 공격 

• 콘텐츠 보안 정책에 모범 사례가 누락되었습니다. 

• SSL, CAA 헤더가 누락되었습니다 

• 기능, UI 및 UX 버그와 오타. 

위에 명시된 제외 사항을 위반할 경우 안전 항구 보호 대상에서 제외되거나 법적 조치를 받을 수 있습니다. 

보상 없음 

보안 취약점 보고와 관련하여 금전적 보상은 제공되지 않습니다. 본 정책은 Addverb의 정보 기술 인프라에 대한 침투 테스트, 스캐닝 또는 해킹 시도를 조장하거나 허용하기 위한 것이 아니라, 합법적인 보안 취약점 보고가 이루어지고 해결될 수 있도록 책임감 있고 안전한 체계를 제공하기 위한 것입니다. 

Addverb 각 제출물을 개별적으로 평가할 권리를 보유합니다. Addverb 자체 재량에 따라 상호 합의 하에, 그리고 보안 연구원이 본 정책의 모든 조항을 준수한 경우에 한하여 공개적인 인정이나 감사 편지와 같은 금전적 보상이 아닌 감사의 표시를 제공할 수 있습니다. 

기억해야 할 사항 

• 취약점의 존재를 입증하는 데 필요한 범위를 넘어서는 어떠한 취약점도 악용하지 마십시오. 

• 본인 소유가 아닌 데이터에 접근, 복사, 다운로드 또는 변조하지 마십시오. 

• 테스트 중에는 시스템이나 서비스의 가용성을 방해하지 마십시오. 

• 타인의 계정이나 자격 증명에 접근하려고 시도하지 마십시오. 

• 모든 활동은 본 정책에 명시된 범위와 제한 내에서 이루어져야 합니다. 

보장 

본 정책에 따라 취약점 보고서를 제출함으로써 보안 연구원은 본 정책의 조항을 위반하거나, 관련 법률을 위반하거나, Addverb또는 제3자에게 피해를 입히는 보안 연구원의 행위, 조치 또는 부작위로 인해 발생하는 모든 청구, 손해, 책임, 손실, 비용 및 경비(변호사 수임료 포함)로부터 Addverb , 그 계열사, 임원, 이사, 직원 및 대리인을 면책하고 방어하며 피해를 입지 않도록 보호하는 데 동의합니다. 

법적 고지 및 면책 조항 

Addverb 본 정책을 준수하지 않을 경우 관련 법률 및 관련 국제법에 따라 형사 또는 민사 소송을 제기할 권리를 포함하여 모든 법적 권리를 보유합니다. 

본 정책은 Addverb의 시스템에 접근하거나 보안 테스트를 수행할 수 있는 어떠한 라이선스(명시적이든 묵시적이든)도 부여하지 않습니다. Addverb 사전 통지 없이 언제든지 본 정책을 수정하거나 철회할 권리를 보유합니다. 참여는 Addverb 와 보안 연구원 간에 어떠한 계약 관계도 발생시키지 않습니다. 

문의하기 

본 정책과 관련된 모든 질문, 의견 또는 취약점 보고는 [mail protected]