2FASync
Cara melaporkan kelemahan keselamatan
Jika anda menemui tingkah laku yang boleh menjejaskan keselamatan, gunakan data ujian sendiri untuk menghasilkan laporan yang boleh disemak.
Fakta yang membantu penyiasatan
Nyatakan halaman, langkah, hasil sebenar, hasil dijangka, jenis peranti dan pelayar yang terlibat.
Tutup atau padamkan semua kod OTP, kunci Base32, URI otpauth, frasa laluan, fail sensitif dan maklumat peribadi daripada bukti.
Kekalkan skop yang selamat
Jangan mengakses akaun pengguna lain, memuat turun data tanpa izin atau meneruskan aktiviti yang menjejaskan ketersediaan perkhidmatan.
Elakkan menyebarkan langkah eksploitasi yang masih boleh digunakan sebelum laporan dinilai dengan betul.
Gunakan saluran yang disahkan
Rujuk saluran rasmi yang benar-benar dipaparkan pada laman 2FASync apabila tersedia. Tiada alamat e-mel keselamatan atau tempoh balasan yang boleh diteka.
Jika saluran khusus belum diumumkan, jangan menghantar bahan rahsia melalui media sosial atau borang pihak ketiga.
Kurangkan data dalam bukti
Guna akaun ujian milik sendiri atau data tiruan semasa menyediakan langkah reproduksi. Semak imej, rakaman skrin dan salinan konsol supaya nilai OTP serta maklumat pengguna sebenar tidak terbawa.
Saluran laporan keselamatan mestilah benar-benar diumumkan oleh pengendali. Jangan meneka alamat e-mel atau memuat naik rahsia kepada pihak ketiga sementara menunggu saluran yang disahkan.