Chính sách bảo mật

Giới thiệu

Chính sách bảo mật này mô tả cách báo cáo lỗ hổng và các biện pháp bảo mật cho ứng dụng VC trên desktop và di động, ứng dụng web tại https://app.vce.codes, cổng tài khoản tại https://portal.vce.codes, dịch vụ VC Connect tuỳ chọn, và website VC tại https://vce.codes.

VC kết nối phần mềm chạy trên thiết bị của bạn và trong các environment do bạn kiểm soát với các coding-agent harness và provider bạn chọn. Chúng tôi bảo vệ phần mềm và hạ tầng do VC vận hành, nhưng không kiểm soát việc bảo mật thiết bị, environment, kho mã, mạng, thông tin xác thực hay provider bên thứ ba của bạn. Hãy lưu ý các trách nhiệm chung bên dưới khi đánh giá rủi ro.

Báo cáo sự cố bảo mật

Nếu bạn cho rằng mình phát hiện lỗ hổng bảo mật trong VC hoặc hạ tầng do VC vận hành, hãy gửi email tới [email protected]. Vui lòng không công bố sự cố cho tới khi chúng tôi có đủ thời gian hợp lý để điều tra và khắc phục.

Khi có thể, vui lòng cung cấp:

Mô tả sự cố và tác động tiềm ẩn;
Ứng dụng, phiên bản, URL, endpoint hoặc thành phần bị ảnh hưởng;
Các bước tái hiện rõ ràng hoặc một bằng chứng khái niệm tối giản;
Log, ảnh chụp màn hình, hoặc chi tiết request và response liên quan, đã loại bỏ giá trị bí mật; và
Cách liên hệ với bạn, và bạn có muốn được ghi danh công khai hay không.

Chúng tôi cố gắng xác nhận đã nhận các báo cáo đầy đủ trong thời gian sớm nhất, cập nhật cho người báo cáo về các tiến triển quan trọng, và phối hợp công bố khi đã có bản sửa. Thời gian khắc phục tuỳ thuộc vào mức độ nghiêm trọng, độ phức tạp và sự phụ thuộc vào bên thứ ba.

Nghiên cứu có trách nhiệm và cam kết bảo vệ

Chúng tôi ủng hộ nghiên cứu bảo mật thiện chí. Nếu bạn thực sự cố gắng tuân theo chính sách này, tránh gây hại, tôn trọng quyền riêng tư và báo cáo phát hiện kịp thời, chúng tôi sẽ coi nghiên cứu của bạn là được cho phép và sẽ không khởi kiện bạn vì những vi phạm vô tình, thiện chí đối với chính sách này. Nếu bên thứ ba có hành động pháp lý liên quan tới nghiên cứu tuân thủ chính sách, chúng tôi sẽ xác nhận sự cho phép của mình khi phù hợp.

Để được cam kết bảo vệ này, bạn phải:

Chỉ kiểm thử tài khoản, dữ liệu và hệ thống bạn sở hữu hoặc được cho phép rõ ràng;
Dừng lại và báo cáo ngay nếu gặp dữ liệu cá nhân, dữ liệu bí mật hoặc dữ liệu production;
Chỉ truy cập lượng thông tin tối thiểu cần để chứng minh sự cố;
Tránh làm gián đoạn dịch vụ, giảm hiệu năng, hoặc làm hỏng hay xoá dữ liệu;
Không dùng kỹ thuật lừa đảo phi kỹ thuật, phishing, tấn công vật lý hoặc kiểm thử từ chối dịch vụ;
Không kiểm thử dịch vụ hoặc hạ tầng của bên thứ ba nằm ngoài sự kiểm soát của VC; và
Cho chúng tôi thời gian hợp lý để xử lý sự cố trước khi công bố.

Cam kết bảo vệ này không cho phép vi phạm pháp luật hoặc hoạt động nằm ngoài phạm vi chính sách. Phần thưởng cho lỗ hổng không được bảo đảm và, nếu có, do chúng tôi toàn quyền quyết định.

Biện pháp bảo mật của chúng tôi

Chúng tôi áp dụng các biện pháp quản trị, kỹ thuật và tổ chức phù hợp với bản chất của VC và thông tin mà các dịch vụ do VC vận hành xử lý. Các biện pháp này gồm:

Tối thiểu hoá dữ liệu. VC được thiết kế để nội dung phiên làm việc có thể chỉ đi giữa các client, environment của bạn, và harness cùng provider bạn cấu hình. Chúng tôi chỉ xử lý thông tin qua hạ tầng do VC vận hành khi một tính năng bạn bật cần đến.
Truyền tải được mã hoá. Các dịch vụ mạng do VC vận hành dùng kết nối được mã hoá. Các luồng kết nối dùng thông tin xác thực giới hạn phạm vi và token ghép nối dùng một lần để hạn chế việc tái sử dụng trái phép.
Bảo vệ tài khoản. Đăng nhập bằng email và mật khẩu yêu cầu thêm mã một lần gửi qua email, và bạn có thể xem và kết thúc các phiên đăng nhập trong cổng tài khoản.
Bảo vệ thông tin xác thực. VC dùng vùng lưu trữ được bảo vệ của nền tảng cho thông tin xác thực và token phiên khi có thể, và ẩn các giá trị bí mật sau khi bạn lưu. Chúng tôi thiết kế việc ghi log vận hành để tránh thu thập giá trị bí mật không cần cho việc vận hành hoặc xử lý sự cố Dịch vụ.
Kiểm soát truy cập. Quyền truy cập hệ thống production và dữ liệu vận hành được giới hạn theo trách nhiệm công việc và được bảo vệ bằng các biện pháp xác thực và phân quyền.
Bảo trì và giám sát. Chúng tôi giám sát các dịch vụ do VC vận hành về độ tin cậy và sự kiện bảo mật, rà soát các thư viện phụ thuộc, và triển khai bản cập nhật cùng biện pháp giảm thiểu khi phù hợp.

Không hệ thống nào an toàn tuyệt đối. Các biện pháp này giảm thiểu rủi ro nhưng không bảo đảm Website hoặc Dịch vụ sẽ không có lỗ hổng hay truy cập trái phép.

Trách nhiệm của bạn

Vì bạn kiểm soát phần lớn đường thực thi của VC, bạn đóng vai trò quan trọng trong việc bảo vệ nó. Bạn chịu trách nhiệm:

Cập nhật VC, hệ điều hành và các công cụ kết nối;
Bảo vệ thiết bị, kho mã, environment, mạng và bản sao lưu;
Bảo vệ thông tin đăng nhập tài khoản, provider, kho mã và environment;
Dùng xác thực đa yếu tố khi nhà cung cấp danh tính và provider coding agent của bạn hỗ trợ;
Chọn chế độ quyền phù hợp với công việc, và chỉ cấp cho provider và tích hợp những quyền chúng cần;
Xem xét lệnh, thay đổi mã nguồn và các kết quả khác của agent trước khi áp dụng hoặc thực thi;
Gỡ các thiết bị bị mất hoặc không còn dùng, và thu hồi thông tin xác thực bạn cho rằng có thể đã bị lộ; và
Tuân theo chính sách bảo mật của harness, provider và hạ tầng bạn chọn.

Không gửi mật khẩu, API key, access token hoặc khoá riêng tư trong báo cáo lỗ hổng. Hãy thu hồi mọi giá trị bí mật có thể đã bị lộ trước khi chia sẻ bằng chứng đã được làm sạch với chúng tôi.

Cập nhật chính sách

Chúng tôi có thể cập nhật Chính sách bảo mật này khi VC, hạ tầng và các biện pháp bảo mật của chúng tôi thay đổi. Chúng tôi sẽ đăng bản sửa đổi tại địa chỉ này và cập nhật các ngày ở trên. Các thay đổi quan trọng đối với quy trình báo cáo hoặc cam kết bảo vệ chỉ áp dụng về sau.

Liên hệ

Báo cáo sự cố bảo mật hoặc đặt câu hỏi về bảo mật qua [email protected]. Với câu hỏi pháp lý chung, liên hệ [email protected]. Với yêu cầu về quyền riêng tư, liên hệ [email protected].