Question 1

O que é uma vulnerabilidade de segurança?

Accepted Answer

Uma vulnerabilidade de segurança é qualquer fragilidade em nossos aplicativos, dispositivos, APIs ou infraestrutura que possa afetar a privacidade, a segurança do usuário ou o funcionamento correto de nossos produtos. A solicitação para excluir informações, cancelamento de serviços ou assistência em um assunto pessoal etc NÃO são uma vulnerabilidade de segurança. Para assuntos não relacionados a vulnerabilidades de segurança, acesse nossa Central de Ajuda em support.life360.com. Consulte a Pergunta frequente nº 2 - A que isso se aplica? para entender melhor o que está dentro e fora do escopo.A Life360 agradece o apoio da comunidade de pesquisa em segurança e de pesquisadores independentes na identificação e relato de vulnerabilidades de segurança de forma responsável. Nossa missão é reduzir os riscos corporativos e aumentar a segurança das pessoas que dependem de nossos produtos digitais e físicos.

Question 2

A quais casos se aplicam as perguntas frequentes sobre divulgação de vulnerabilidades de segurança?

Accepted Answer

Você pode relatar problemas de segurança relacionados a todos os produtos com a marca Life360 e produtos afiliados, incluindo:Aplicativos móveis e web da Life360Hardware da Life360, bem como nossos:Rastreadores Bluetooth TileDispositivos de localização inteligente JiobitAplicativos web Life360 NativoSDKs públicos Life360 NativoOs seguintes sistemas e ativos estão no escopo para pesquisa e divulgação de vulnerabilidades (lista não exaustiva):Siteshttps://www.life360.comhttps://www.jiobit.comhttps://www.nativo.comAPIsapi.life360.comproduction.tile-api.combackend.jiobit.comapi.nativo.comAndroidcom.life360.android.safetymapdcom.thetileapp.tilecom.jiobit.appiOSLife360-find-family-friendstile-find-lost-keys-phonejiobit-for-familiesTodos os firmwares, aplicativos, APIs e serviços em nuvem associados aos dispositivos Life360, Jiobit e TileCategorias de vulnerabilidades dentro do escopo:Problemas de autenticação ou autorizaçãoAcesso não autorizado a dados ou localização de usuáriosVulnerabilidades do lado do servidor (por exemplo, RCE, SQLi, SSRF)Vazamento de PII em clientes móveisDirectory traversal, XSS e CSRF em funções sensíveisReferências diretas a objetos inseguras (IDOR)Falhas de lógica em APIsExposição de credenciais ou tokens sensíveis com impacto demonstradoConfigurações incorretas com implicações de segurança demonstradasFalhas de assinatura e pagamento (por exemplo, é possível se tornar membro gold sem pagar além do período de avaliação gratuita).Categorias de vulnerabilidades fora do escopo:Certas vulnerabilidades são consideradas fora do escopo do Programa de Bug Bounty. Essas vulnerabilidades fora do escopo incluem, mas não se limitam a:https://docs.hackerone.com/en/articles/8494488-core-ineligible-findingsExclusões de escopo conforme listadas no HackerOneSistemas de fusões e aquisições recentes dentro de 60 dias após a conclusãoProblemas conhecidos (lista não exaustiva)Verificação de registro por celular/e-mail da conta (não usamos 2FA tradicional)Vulnerabilidades conhecidas (CVEs) sem um exploit comprovado em nosso ambienteOutrosQuaisquer ataques físicos contra propriedades ou data centers da Life360Engenharia social de funcionários, prestadores de serviços ou fornecedoresInjeção (HTML, CSV) sem demonstrar uma vulnerabilidade e prova de conceito (PoC) de exploitAtaques de injeção de CSS (a menos que permitam ler tokens anti-CSRF ou outras informações sensíveis).Relatórios de varredura automatizada sem impacto reproduzível validadoIncluindo ferramentas de varredura de IA sem validação de explorabilidade e impactoBibliotecas ou frameworks vulneráveis previamente conhecidos sem prova de conceito e exploração funcionaisVulnerabilidades conhecidas com patches com menos de 30 diasVulnerabilidades que afetam apenas usuários de aplicativos móveis desatualizados[menos de 2 versões estáveis antes da última versão estável lançada]Vulnerabilidades que afetam apenas usuários de navegadores desatualizados ou sem patches[menos de 2 versões estáveis antes da última versão estável lançada]Exposição de credenciais ou chaves de API sem risco de negócio comprovado. Não use uma chave de API para aumentar a fatura. Esse tipo de problema não é elegível para recompensas.Presença/ausência do atributo autocomplete em formulários web/gerenciadores de senhasProblemas de limitação de taxa ou força brutaMétodos HTTP não utilizados ou códigos de resposta utilizadosDivulgações de IP privado/nome de host ou divulgações de IP real para serviços que usam CDNProblemas relacionados a dispositivos móveis, incluindo segredos encontrados no aplicativo, devem ter um risco de negócio associado ao uso indevido desses segredosVulnerabilidades envolvendo credenciais roubadasDivulgação de caminho completoRequisitos de complexidade de senha, enumeração de conta/e-mail ou qualquer relatório que discuta como é possível descobrir se um determinado nome de usuário ou endereço de e-mail é fácil de adivinharEndpoints de administração do WordPress expostos sem exploit de Prova de Conceito funcional

Question 3

Como relatar uma vulnerabilidade de segurança?

Accepted Answer

Levamos a segurança muito a sério. Se você acredita ter descoberto uma vulnerabilidade de segurança em algum dos nossos produtos ou serviços dentro do escopo, relate-a em um dos seguintes canais:Envie seu relatório pelo nosso programa no HackerOne em https://hackerone.com/life360. Se precisar de um convite, envie seu relatório completo por e-mail para responsibledisclosure@life360.com e nós cuidaremos do restoSe não conseguir usar o HackerOne, você pode enviar seu relatório diretamente por e-mail para vulnerability-disclosure@life360.comPara problemas que não sejam vulnerabilidades de segurança, acesse nossa Central de Ajuda em support.life360.com.Para nos ajudar a investigar com eficiência, inclua as seguintes informações em seu relatório:Nome e versão do produto (por exemplo, aplicativo Life360, dispositivo Tile Mate)Uma descrição clara da vulnerabilidadePasso-a-passo detalhado para reproduzir o problemaData de descobertaSuas informações de contato (opcional, mas recomendado para acompanhamento)Usaremos suas informações apenas para investigar e responder ao problema.

Question 4

Quando receberei uma resposta após enviar um relatório de vulnerabilidade de segurança? Vou receber atualizações?

Accepted Answer

Nosso objetivo é responder de forma oportuna e transparente.Este é o processo que seguimos:Confirmamos o recebimento de todos os envios em até 10 dias úteis.Se um envio for determinado como uma vulnerabilidade de segurança válida, fornecemos atualizações adicionais e podemos solicitar mais detalhes em até 30 dias.Enviamos atualizações ao longo do ciclo de vida do problema até que uma resolução seja alcançada, caso seja determinado como uma vulnerabilidade de segurança válida.Se, após avaliação, determinarmos que um envio não atende aos nossos critérios para uma vulnerabilidade de segurança válida, poderemos não dar continuidade além do reconhecimento inicial. Para problemas que não sejam vulnerabilidades de segurança, acesse nossa Central de Ajuda em support.life360.com.A Life360 reserva-se o direito exclusivo de determinar a natureza, a gravidade e o prazo de resolução de qualquer vulnerabilidade relatada, bem como de decidir se e como responder a um relatório. Nada nestas Perguntas frequentes obriga a Life360 a tomar qualquer medida além do que é legalmente exigido, nem cria quaisquer direitos contratuais ou legais para qualquer parte. A Life360 pode atualizar ou alterar estas Perguntas frequentes a qualquer momento sem aviso prévio. A participação neste programa não garante nenhuma forma de resposta, correção ou reconhecimento, salvo quando exigido por lei.

Question 5

Quais diretrizes devo seguir ao preparar meu relatório de vulnerabilidade de segurança?

Accepted Answer

Antes de enviar seu relatório de vulnerabilidade, tenha em mente as seguintes diretrizes:Envie todos os relatórios de forma privada pelos mecanismos listados na seção Como posso reportar uma vulnerabilidade de segurança?Envie relatórios claros e reproduzíveis; relatos vagos ou incompletos podem ser rejeitadosTeste apenas sistemas e ativos (descritos acima) explicitamente dentro do escopo e não expanda o acesso além do problema verificadoNão foque em serviços de terceiros e limite as ferramentas automatizadas a 60 solicitações/seg, sempre encerrando as atividades automatizadas ao primeiro sinal de interrupção ou impacto adversoReporte uma vulnerabilidade por relatório (a menos que o encadeamento de vulnerabilidades relacionadas seja necessário)Apenas o primeiro relatório válido é elegível para reconhecimento; duplicatas ou problemas derivados poderão ser agrupadosPare imediatamente os testes e reporte se encontrar informações de identificação pessoal (PII, na sigla em inglê), propriedade intelectual protegida ou se isso afetar negativamente serviços compartilhadosEngenharia social, phishing e tentativas de acesso físico são proibidosUse apenas contas de teste que você possui ou está autorizado a usar; nunca use dados reais de usuários (mesmo que sejam seus)Assinaturas de avaliação ou pagas podem ser usadas para acessar recursos premium para testes. Para apoiar sua pesquisa:Crie contas de teste com credenciais válidas e um número de celular legítimoVocê pode usar assinaturas de avaliação ou pagas para ter acesso a funcionalidades premiumA Life360 reserva-se o direito exclusivo de determinar a natureza, a gravidade e o prazo de resolução de qualquer vulnerabilidade reportada, bem como de decidir se e como responder a um relatório. Nada nestas Perguntas frequentes obriga a Life360 a tomar qualquer medida além do que é legalmente exigido, nem cria quaisquer direitos contratuais ou legais para qualquer parte. A Life360 pode atualizar ou alterar estas Perguntas frequentes a qualquer momento sem aviso prévio. A participação neste programa não garante nenhuma forma de resposta, correção ou reconhecimento, salvo quando  exigido por lei.

Question 6

Acho que meu relatório de vulnerabilidade de segurança não está sendo tratado corretamente: o que devo fazer?

Accepted Answer

Se você não estiver satisfeito com o resultado ou com o tratamento do seu relatório de vulnerabilidade, pode encaminhar o assunto respondendo ao e-mail original que recebeu para reabrir o problema.Pedimos que você inclua um resumo claro das suas preocupações para que possamos realizar uma reavaliação completa.Estamos comprometidos em garantir que todos os relatórios sejam tratados de forma justa, transparente e em conformidade com nossa política de divulgação.

Question 7

Como as informações incluídas no meu relatório de vulnerabilidade de segurança são tratadas?

Accepted Answer

Quaisquer dados pessoais coletados (por exemplo, nome e endereço de e-mail) serão usados apenas para processar seu relatório de segurança e nos comunicarmos com você sobre ele.

Relatório de Divulgação de Vulnerabilidades de Segurança — Perguntas Frequentes