LogicNodes Legal

Legal documentation and policies

EN | DA

LogicNodes - Politik for Ansvarlig Offentliggørelse

Ikrafttrædelsesdato: 3. november 2025

Senest Opdateret: 3. november 2025

Version: 1.0

1. Introduktion

LogicNodes er forpligtet til at beskytte sikkerheden og privatlivet for vores partnere og deres brugere. Vi byder velkommen til og påskønner ansvarlig offentliggørelse af sikkerhedssårbarheder fra sikkerhedsforskningssamfundet.

Denne politik giver retningslinjer for sikkerhedsforskere til ansvarlig rapportering af sårbarheder og beskriver hvordan LogicNodes vil reagere.

2. Anvendelsesområde

2.1 Systemer Inden for Anvendelsesområdet

Sikkerhedsforskere er autoriseret til at teste følgende systemer:

Produktionsmiljø:

Testmiljø:

2.2 Systemer Uden for Anvendelsesområdet

Følgende er IKKE autoriseret til test:

3. Sårbarheder Inden for Anvendelsesområdet

Vi er interesserede i rapporter om følgende sårbarheds-typer:

3.1 Kritisk Sværhedsgrad

Eksempler:

3.2 Høj Sværhedsgrad

Eksempler:

3.3 Mellem Sværhedsgrad

Eksempler:

3.4 Lav Sværhedsgrad

Bemærk: Sårbarheder med lav sværhedsgrad er stadig værdifulde rapporter og vil blive behandlet.

4. Sårbarheder Uden for Anvendelsesområdet

Følgende er IKKE berettiget til anerkendelse eller belønninger:

4.1 Ekskluderede Sårbarheds-typer

4.2 Kendte Problemer

Følgende er kendte og vil ikke blive behandlet øjeblikkeligt:

5. Retningslinjer for Ansvarlig Offentliggørelse

5.1 Testregler

Ved test for sårbarheder skal forskere:

GØR:

GØR IKKE:

5.2 Safe Harbor

LogicNodes forpligter sig til:

Betingelser:

Ansvarsfraskrivelse: Dette safe harbor giver ikke tilladelse til at overtræde tredjeparters servicevilkår (f.eks. Supabase, AWS). Du er ansvarlig for overholdelse af alle gældende love og vilkår.

6. Rapportering af en Sårbarhed

6.1 Hvordan Man Rapporterer

Primær Kontakt:

6.2 Rapportformat

Inkluder venligst følgende information:

Påkrævet:

  1. Sårbarheds-type (f.eks. SQL Injection, XSS, Authorization Bypass)
  2. Berørt System (URL, API endpoint, komponent)
  3. Sværhedsgrads-vurdering (Kritisk, Høj, Mellem, Lav - din mening)
  4. Trin til Reproduktion (detaljerede, nummererede trin)
  5. Proof of Concept (screenshots, kode, HTTP-forespørgsler)

Valgfrit:

  1. Konsekvensvurdering (hvad en angriber kunne opnå)
  2. Foreslået Afhjælpning (hvordan man fixer problemet)
  3. Dit Navn/Handle (hvis du ønsker kredit)
  4. Offentliggørelses-tidslinje (hvis du har specifikke krav)

Eksempel Rapport:

Emne: [SECURITY] SQL Injection i /api/organizations/{org_id}/runs

Sårbarheds-type: SQL Injection
Berørt System: POST /api/organizations/{org_id}/runs
Sværhedsgrad: Kritisk

Trin til Reproduktion:
1. Autentificer som organisationsmedlem (POST /api/v1/embed/auth)
2. Send POST-forespørgsel til /api/organizations/{org_id}/runs med payload:
   {
     "filter": "status = 'completed' OR 1=1 --"
   }
3. Observer at alle kørsler returneres (ikke kun egen organisation)

Proof of Concept:
[Screenshot der viser SQL-forespørgsel i fejlmeddelelse]
[curl-kommando til reproduktion]

Konsekvens:
Angriber kan få adgang til alle organisationers agent-kørsler og omgå RLS-politikker.

Foreslået Afhjælpning:
Brug parameteriserede forespørgsler i stedet for strengsammenkædning.

Rapportør: John Doe (john@example.com)
Offentliggørelse: 90 dage (standard)

6.3 Krypteret Rapportering (Valgfrit)

For følsomme sårbarheder kan du kryptere din rapport med PGP:

  1. Anmod om PGP-nøgle: security@logicnodes.ai
  2. Krypter rapport med vores public key
  3. Send krypteret email til security@logicnodes.ai

Bemærk: PGP er valgfrit. Ukrypteret email til security@logicnodes.ai er acceptabel.

7. Responsproces

7.1 Tidslinje

Inden for 24 Timer:

Inden for 72 Timer:

Inden for 90 Dage:

7.2 Sværhedsgrads-klassificering

LogicNodes bruger følgende sværhedsgrads-niveauer:

Kritisk (P0):

Høj (P1):

Mellem (P2):

Lav (P3):

Informativ:

7.3 Kommunikation

Under Undersøgelse:

Efter Afhjælpning:

Offentlig Offentliggørelse:

8. Anerkendelse & Belønninger

8.1 Offentlig Anerkendelse

Forskere der rapporterer gyldige sårbarheder vil blive krediteret på vores Security Hall of Fame (med tilladelse):

URL: https://logicnodes.ai/security/hall-of-fame (kommer snart)

Information Publiceret:

Opt-Out: Hvis du foretrækker at forblive anonym, angiv venligst i din rapport.

8.2 Belønninger

Aktuel Status: Ingen bug bounty-program (planlagt til 2026)

Fremtidige Planer:

Aktuel Anerkendelse:

9. Juridisk & Compliance

9.1 Safe Harbor (Udvidet)

LogicNodes vil ikke indlede retssag mod forskere der:

  1. Overholder denne politik (testregler, offentliggørelses-tidslinje)
  2. Gør god faith indsats for at undgå skade (ingen datatyveri, DoS, privatlivskrænkelser)
  3. Rapporterer sårbarheder hurtigt (inden for 24 timer efter opdagelse)
  4. Ikke offentliggør (før 90-dages embargo eller gensidig aftale)

Hvad Safe Harbor Dækker:

Hvad Safe Harbor IKKE Dækker:

9.2 Offentliggørelses-tidslinje

Standard Embargo: 90 dage fra indledende rapport

Tidlig Offentliggørelse (med gensidig aftale):

Udvidet Embargo:

Offentlig Offentliggørelse Efter 90 Dage:

9.3 CVE-tildeling

For sårbarheder der opfylder CVE-kriterier:

10. Ekskluderede Parter

Følgende parter er IKKE berettiget til at deltage:

11. Ændringer til Denne Politik

LogicNodes kan opdatere denne politik når som helst. Ændringer vil blive posted på: URL: https://logicnodes.ai/security/responsible-disclosure

Underretning:

Ikrafttrædelsesdato:

12. Ofte Stillede Spørgsmål

12.1 Generelt

Q: Har I et bug bounty-program? A: Ikke endnu. Planlagt til Q2 2026 på HackerOne eller Bugcrowd. I øjeblikket tilbyder vi offentlig anerkendelse og taknemmelighed.

Q: Kan jeg bruge automatiserede scannere? A: Anmod venligst om tilladelse først (security@logicnodes.ai). Automatiserede scannere kan udløse rate limits eller DoS-beskyttelser.

Q: Kan jeg teste på produktionssystemer? A: Ja, men kun på dine egne konti. Anmod om testkonti via security@logicnodes.ai for sikrere test.

Q: Kan jeg offentliggøre før 90 dage? A: Kun med gensidig aftale. Vi foretrækker koordineret offentliggørelse.

12.2 Anvendelsesområde

Q: Er subdomain takeover inden for anvendelsesområdet? A: Ja, hvis du kan demonstrere konsekvens (f.eks. phishing, cookie-tyveri).

Q: Er fravær af rate limiting en gyldig rapport? A: Kun hvis det muliggør DoS eller brute force-angreb. Manglende rate limits alene er informative.

Q: Er tredjeparts-afhængigheder inden for anvendelsesområdet? A: Ja, hvis sårbarheden påvirker LogicNodes (f.eks. forældet bibliotek med kendt CVE). Rapporter til os og leverandøren.

Q: Er social engineering inden for anvendelsesområdet? A: Nej. Phish ikke medarbejdere, partnere eller brugere.

12.3 Rapportering

Q: Kan jeg rapportere anonymt? A: Ja. Brug ProtonMail eller Tutanota til anonym email. Vi holder din identitet fortrolig.

Q: Kan jeg rapportere via Twitter/LinkedIn? A: Brug venligst security@logicnodes.ai til alle rapporter. Sociale medier overvåges ikke for sikkerhedsrapporter.

Q: Hvad hvis min rapport er en duplikat? A: Vi underretter dig hvis problemet tidligere er rapporteret. Duplikater modtager stadig anerkendelse (men ingen yderligere kredit).

Q: Kan jeg rapportere problemer i tredjepartstjenester? A: Rapporter til tredjeparten (Supabase, AWS, Mailgun) direkte. Hvis problemet påvirker LogicNodes’ konfiguration, rapporter også til os.

12.4 Belønninger

Q: Får jeg betaling for min rapport? A: Ikke i øjeblikket (intet bug bounty-program). Du modtager offentlig anerkendelse og vores taknemmelighed.

Q: Hvornår lanceres bug bounty? A: Estimeret Q2 2026, afventende indtægtsmilepæle.

Q: Kan jeg forhandle en belønning? A: For ekstraordinære fund (0-day, kritisk sværhedsgrad), kontakt security@logicnodes.ai for diskussion.

13. Kontaktoplysninger

Sikkerhedsteam

Email: security@logicnodes.ai PGP-nøgle: Anmod via email Svartid: Inden for 24 timer

Generelle Henvendelser

Email: support@logicnodes.ai Formål: Ikke-sikkerhedsspørgsmål, produktsupport

Juridisk Afdeling

Email: legal@logicnodes.ai Formål: Safe harbor-spørgsmål, juridiske bekymringer

14. Anerkendelser

LogicNodes takker sikkerhedsforsknings-samfundet for at hjælpe os med at beskytte vores partnere og deres brugere. Vi er taknemmelige for jeres ansvarlige offentliggørelse og samarbejde.

Særlig Tak:

15. Referencer

Industristandarder:

Offentliggørelses-politikker (Inspiration):

Ansvarlig Offentliggørelses-rammer:

© 2025 LogicNodes Inc. Alle rettigheder forbeholdes.

Denne Politik for Ansvarlig Offentliggørelse træder i kraft 3. november 2025. Ved at indsende en sårbarheds-rapport accepterer du vilkårene i denne politik.