Informazioni su AuditOne

AuditOne è un fornitore di infrastrutture di audit. Gestiamo TIC OS, il sistema operativo destinato agli organismi di certificazione e ispezione, una piattaforma che riunisce auditor di sicurezza e ISO accuratamente selezionati, oltre a servizi di sicurezza quali audit di smart contract e test di penetrazione.

Questo programma riguarda i nostri contratti intelligenti, le nostre applicazioni web e l'infrastruttura digitale che ne sta alla base, con particolare attenzione a TIC OS.

Attività oggetto dell'analisi

Contratti intelligenti

Pool di sconti: 0x28e59a982584987708D68754459e0375c9Caf77A (IOTA EVM)

Applicazioni web

• TIC OS: https://cockpit.auditone.io/ (comprese le relative API, i portali clienti e le visualizzazioni per i revisori)
• App Auditor: https://auditor.auditone.io
• Sito web: www.auditone.io

Infrastrutture

Domini e sottodomini sotto auditone.io e l'infrastruttura cloud gestita da AuditOne per queste applicazioni.

Gravità e ricompense

La gravità e l'importo della ricompensa vengono stabiliti da AuditOne in base all'impatto dimostrato.

Critico (da 3.000 a 10.000 dollari)

Riservato esclusivamente alle vulnerabilità presenti negli smart contract di AuditOne oggetto della verifica che consentono a un malintenzionato di sottrarre risorse, ovvero il furto diretto di token o fondi detenuti nel Discount Pool. Nessuna vulnerabilità relativa alle applicazioni web o all’infrastruttura è classificata come “Critica”.

Elevato (da 1.000 a 3.000 dollari)

• Accesso ai dati di un altro cliente in TIC OS (accesso ai dati tra tenant), anche tramite funzionalità di intelligenza artificiale o iniezione di prompt
• Appropriazione indebita dell'account o aggiramento dell'autenticazione su TIC OS o sul marketplace degli auditor
• Esecuzione remota di codice sui server di AuditOne
• Vulnerabilità di tipo “injection” (SQL, NoSQL, comandi) che comportano l’estrazione o la modifica dei dati
• Elevazione dei privilegi ai ruoli di amministratore o proprietario dell'organizzazione
• Falsificare, modificare o revocare certificati o relazioni di revisione senza autorizzazione
• Vulnerabilità degli smart contract che causano il congelamento permanente dei fondi o l'emissione non autorizzata di token senza che vi sia un furto vero e proprio

Medio (da 300 a 1.000 dollari)

• Cross-Site Scripting (XSS) memorizzato
• Cross-Site Request Forgery (CSRF) nelle azioni che modificano lo stato
• Riferimenti non sicuri a oggetti diretti che espongono dati limitati all'interno di un singolo tenant
• Bypass di un ruolo o di un'autorizzazione all'interno di un tenant, ad esempio un revisore che accede a record al di fuori del proprio incarico
• Falsificazione delle richieste lato server (SSRF) senza accesso ai sistemi interni
• Divulgazione di segreti, credenziali o impostazioni sensibili
• Errori nella logica di business nei flussi di lavoro relativi all’audit, alla certificazione o ai pagamenti
• Vulnerabilità degli smart contract che causano il blocco temporaneo dei fondi o un attacco denial-of-service a livello di contratto

Basso (fino a 300 dollari)

• XSS riflesso che richiede una notevole interazione da parte dell'utente
• Reindirizzamenti aperti
• Mancanza di limitazioni di velocità durante il login, il ripristino della password o altre operazioni sensibili
• Enumerazione degli utenti o degli account
• Problemi relativi agli smart contract che non hanno alcun impatto sulle risorse, ad esempio l'emissione errata di eventi o errori nelle funzioni di visualizzazione

Fuori dall'ambito di applicazione

• Infrastrutture e servizi di fornitori terzi (hosting cloud, strumenti per la creazione di siti web, servizi di posta elettronica, fornitori di servizi di pagamento e di analisi), anche qualora AuditOne ne faccia uso
• Siti web e applicazioni non elencati sopra, compresi quelli di partner o clienti
• Oracoli di prezzo e smart contract di terze parti
• Clickjacking su pagine prive di azioni sensibili, self-XSS, assenza di intestazioni di sicurezza o record di posta elettronica (SPF, DKIM, DMARC) senza conseguenze dimostrabili
• Risultati riproducibili solo su browser obsoleti o non supportati
• Rapporti provenienti da scanner automatici senza una prova di fattibilità funzionante
• Questioni di cui siamo già a conoscenza o segnalate per prime da un altro ricercatore

Regole e requisiti

Sono vietate le seguenti attività:

• Qualsiasi test su contratti della mainnet o di una testnet pubblica; tutti i test sugli smart contract devono essere effettuati su testnet private
• Qualsiasi test che preveda l'utilizzo di oracoli di prezzo o di smart contract di terze parti
• Tentativi di phishing o altri attacchi di ingegneria sociale ai danni dei nostri dipendenti e/o clienti
• Accedere, modificare o cancellare dati appartenenti ad altri utenti o clienti; se si individuano dati di questo tipo, interrompere immediatamente l'operazione e segnalarlo
• L'utilizzo di qualsiasi account diverso dai propri account di prova; gli account di prova su un tenant TIC OS dedicato sono disponibili su richiesta
• Creazione, modifica o revoca di certificati reali o rapporti di revisione
• Attacchi denial-of-service, test di carico o scansioni automatizzate che compromettono il funzionamento del servizio per gli organismi di certificazione che utilizzano TIC OS
• Attacchi fisici contro gli uffici o i centri dati di AuditOne
• Rendere pubblica una vulnerabilità prima che sia stata risolta e prima che abbiamo acconsentito alla sua divulgazione

Reportistica

Invia i risultati tramite l'app AuditOne, fornendo una descrizione chiara, l'asset interessato, i passaggi per riprodurre il problema e una prova di concetto.

Solo la prima segnalazione valida di una vulnerabilità dà diritto a un premio. Per le persone fisiche è richiesta la procedura KYC prima del pagamento.

Safe Harbour

Le ricerche condotte in buona fede e nel rispetto delle presenti norme non daranno luogo ad azioni legali da parte di AuditOne.