Tangsel Bug Bounty Program
Halo para Bug Hunter!
Diskominfo Tangerang Selatan menggelar Bug Bounty Program, yaitu kompetisi bagi Bug Hunter dalam mencari celah keamanan dan memastikan dapat dieksploitasi pada sistem target demi meningkatkan kepedulian terhadap keamanan sistem dan data kita.
Program ini akan dilaksanakan pada 17 Mei s.d. 17 Agustus 2024
Ayo ikut berpartisipasi dan dapatkan hadiah jutaan rupiah bagi peringkat 3 teratas!
Bounty Terms
Dalam berpartisipasi pada Tangsel Bug Bounty Program 2024, peserta diwajibkan untuk mengikuti beberapa ketentuan berikut :
- Mematuhi seluruh syarat & ketentuan yang berlaku
- Tidak melakukan pengujian yang dapat menyebabkan gangguan terhadap aktivitas pengguna aplikasi yang sah. Misalnya mengubah, mengakses dan/atau berinteraksi dengan akun pengguna lain tanpa pesertujuan pengguna akun
- Tidak melakukan pengujian yang dapat menyebabkan terganggunya layanan system elektronik yang diuji, misalnya melakukan Denial-Of-Service
- Tidak mengeksploitasi lebih lanjut kerentanan yang ditemukan, walaupun bertujuan untuk menunjukkan risiko terbesar. Misalnya dengan melakukan eksfiltrasi data, merubah konfigurasi, pivoting ke sistem lain dan sebagainya. Cukup melakukan Proof-Of-Concept untuk memastikan kerentanan yang ditemukan valid
- Tidak melakukan publikasi terhadap informasi kerentanan yang ditemukan tanpa persetujuan pihak-pihak terkait dalam penyelenggaraan Tangsel Bug Bounty Program, sebagimana dijelaskan pada Kebijakan Publikasi
- Melaporkan kepada pihak-pihak terkait dalam penyelenggaraan Tangsel Bug Bounty Program apabila ditemukan indikasi peretasan (indicator of compromise), kebocoran data, dan/atau tidak tersedianya layanan system elektronik yang diuji (Denial of Service)
In Scope
- xxx.tangerangselatankota.go.id
Out Of Scope
- DOS/DDOS
- Self-XSS
- Kerentanan yang hanya bersifat teoritis tanda adanya pembuktian
- Missing Security Header
- Social Engineering
- Cross-site Request Forgery (CSRF) pada fitur yang non-sensitif atau memiliki dampak minimal, seperti logout CSRF
- Clickjacking pada halaman yang tidak sensitive
- Email Spoofing dan/atau terkait email miskonfigurasi seperti DMARC dan SPF Records
- SSL/TLS best practices
- Open port tanpa dampak yang valid
Responsible Disclosure Policy
- Peserta tidak diperkenankan melakukan publikasi kerentanan yang ditemukan tanpa adanya persetujuan dari pihak-pihak terkait dalam penyelenggaraan Tangsel Bug Bounty Program
- Publikasi tidak boleh mencantumkan Nama Instansi pemilik sistem, URL, screenshot asli dari website, baik secara eksplisit maupun implisit
- Jika peserta mempublikasikan kerentanan tanpa adanya persetujuan dari pihak-pihak terkait dalam penyelenggaraan Tangsel Bug Bounty Program (untuk alasan apapun termasuk pendidikan, portofolio, dll), pemilik sistem dapat mengajukan gugatan atau mengambil tindakan hukum sesuai peraturan perundang-undangan yang berlaku
Report Guidelines
- Peserta melaporkan kerentanan hanya melaluui jalur komunikasi yang telah ditentukan, dalam hal ini melalui email tangselbounty@gmail.com
- Melaporkan kerentanan secara rinci, sesuai dengan format dan ketentuan yang telah diberikan
- Diskominfo Kota Tangerang Selatan dapat meminta perbaikan atau menolak laporan yang dikirim oleh Pelapor apabila tidak sesuai dengan ketentuan pelaporan
- Judul memuat informasi jenis kerentanan dan nama sistem yang rentan. Contoh : Laporan Kerentanan SQL Injection pada https://target.go.id/?id=
- Memuat nama sistem yang rentan berserta URL lokasi kerentanan. Contoh : https://target.go.id/User/UbahPassword
- Menentukan jenis kerentanan
- Menentukan severity dari kerentanan (Critical, High, Medium, Low)
- Menjelaskan kerentanan yang ditemukan pada target
- Menjelaskan secara rinci Langkah-langkah Proof of Concept (PoC) kerentanan
- Menyertakan bukti tangkap gambar atau video PoC
- Menjelaskan dampak yang dapat ditimbulkan dari kerentanan yang ditemukan
- Memuat rekomendasi perbaikan atas kerentanan yang ditemukan
FAQ
Q: Bagaimana cara penentuan pemenang?
A: Pemenang akan ditentukan untuk 3 peringkat teratas pada halaman Hall of Fame.
Q: Berapa hadiah yang akan didapatkan pemenang?
A: Untuk peringkat 1 akan mendapatkan Rp6.000.000, peringkat 2 mendapatkan Rp4.000.000 dan peringkat 3 mendapatkan Rp2.000.000 (hadiah belum dipotong pajak).
Jika butuh informasi selengkapnya dapat dilihat di situs bounty.tangerangselatankota.go.id atau DM ke @humaskotatangsel
