Program de recompense · Chappa Edge

01Pe scurt

ȚintaSoftware-ul, imaginea de sistem și mecanismele de provizionare ale Chappa Edge, testate exclusiv pe o unitate de laborator.

AccesNumai prin infrastructura noastră cloud, pe bază de înscriere și aprobare: un profil individual, limitat în timp, către o singură unitate.

EligibilitateDoar rapoartele însoțite de dovada obținută de pe unitatea atribuită ție: cod de sesiune și martor. Fără unitate nu există dovadă.

RecompenseÎntre 150 și 1.500 lei pe raport, plus un bonus de calitate de până la 25%.

În afara programuluiOrice echipament instalat la un beneficiar, rețelele și datele acestuia, infrastructura centrală.

Contactoffice (at) ceapa.cool, subiect: Edge-VRP

02Perimetrul programului

Programul acoperă o singură țintă: Chappa Edge, serverul local administrat de noi, descris pe pagina principală a site-ului. Testarea se face numai pe unitatea de laborator care ți-a fost atribuită.

În perimetru

imaginea de sistem și lanțul de pornire: pornirea securizată, kernelul semnat, discul criptat și legat de dispozitiv;
provizionarea zero-touch: generarea identității la prima pornire și blocarea până la aprobare, inclusiv ocolirea ei;
legătura unității cu infrastructura noastră: clientul WireGuard, configurația și rutarea, din partea unității;
certificatele emise pentru fiecare unitate: stocare, reînnoire, distribuire;
serviciile Chappa găzduite pe unitate (serverul aplicației, baza de date locală, KDS), așa cum sunt accesibile din rețeaua locală a laboratorului;
rutarea DNS locală și proxy-ul dintre unitate și terminale;
mecanismul de actualizare a sistemului și a aplicațiilor, inclusiv verificarea semnăturilor.

În afara perimetrului

orice unitate Chappa Edge instalată la un beneficiar (restaurante, localuri, magazine), împreună cu rețelele, terminalele, datele și angajații acestuia, indiferent cum ai afla de existența lor;
infrastructura centrală: consola, concentratoarele VPN, proxy-ul, serverele cloud, bazele de date, domeniile și e-mailul. Singurul punct de contact permis este poarta de laborator primită la atribuire;
celelalte produse (Chappa POS în cloud, aplicația Chappa, FisCool, site-urile noastre), pentru care există canalul public de raportare din secțiunea „Despre noi” a site-ului;
servicii și furnizori terți: Stripe, NETOPIA Payments, ANAF/SPV, Cloudflare, furnizorii de găzduire;
inginerie socială, phishing, atacuri asupra persoanelor sau a sediilor;
refuz de serviciu (DoS/DDoS), teste de volum, scanări de adrese, atacuri prin forță brută asupra conturilor reale.

Regula simplă: dacă o adresă, un nume de gazdă sau un serviciu nu ți-a fost dat la atribuire, nu face parte din program.

03Cum ajungi la o unitate

Unitățile de laborator sunt echipamente Chappa Edge deținute de CEAPA COOL, dedicate programului, izolate de flota de producție și fără date reale. Accesul la ele se face exclusiv prin infrastructura noastră cloud.

Înscriere. Ne scrii la adresa de la secțiunea 8, cu subiectul „Edge-VRP”: numele tău (sau un pseudonim, plus numele real pentru plată), țara, confirmarea că ai peste 18 ani și că accepți termenii din acest document, o descriere scurtă a experienței tale și modul de acces dorit (la distanță sau fizic).
Verificare. Răspundem în 5 zile lucrătoare. Numărul de participanți simultani este limitat de numărul de unități disponibile; cererile peste capacitate intră în așteptare.
Atribuire. Primești identificatorul unei unități, un cod de sesiune și un profil de acces individual (tunel criptat), valabil 72 de ore și prelungibil la cerere. Profilul te leagă numai de unitatea ta.
Testare. Lucrezi în perimetrul unității. O poți readuce oricând la imaginea de fabrică, la cererea ta sau a noastră.
Raport. Îl trimiți cu dovada, în intervalul de acces sau în cel mult 7 zile de la expirarea lui.

Acces fizic

Pentru cercetarea la nivel de hardware sau de lanț de pornire putem agrea, de la caz la caz și printr-un acord scris separat, expedierea unei unități de cercetare, fără date și fără identitate de flotă. Fără un astfel de acord, programul acoperă doar accesul la distanță.

Nu există altă cale. Unitățile din teren nu au porturi deschise spre Internet și nu pot fi atinse din afara infrastructurii noastre. Programul nu autorizează căutarea lor și nu îți dă dreptul să încerci.

04Dovada de pe unitate

Recompensa se acordă numai pentru ce se poate demonstra pe o unitate. Condiția aceasta deosebește un raport eligibil de o presupunere.

La atribuire plasăm pe unitate un martor: o valoare unică pentru tine și pentru sesiunea ta, legată de identitatea unității. Compromiterea lui este ceea ce trebuie să demonstrezi. Martorul nu este publicat nicăieri, nu poate fi dedus din afara unității și nu se repetă de la o sesiune la alta.
Există trei niveluri. N1: datele și serviciile aplicației. N2: sistemul de operare, în zona rezervată administratorului. N3: materialul legat de dispozitiv (cheia discului, identitatea unității) sau granița laboratorului, unde plasăm un martor de margine; citirea lui dovedește ieșirea din izolare.
Un raport eligibil conține identificatorul unității, codul de sesiune, valoarea martorului citită de pe unitate și pașii de reproducere. Verificăm valoarea față de cea plasată de noi.
Accesul și martorii expiră odată cu sesiunea. Un martor dintr-o sesiune anterioară nu mai este valabil.
Un raport fără dovadă valabilă este tratat ca informare: îl analizăm, remediem dacă este cazul și îți comunicăm rezultatul, dar nu se plătește.

În practică: fără o unitate atribuită nu există cod de sesiune, iar fără cod de sesiune nu există martor. Nu se poate câștiga altfel.

05Recompense

Clasă	Exemple, pe unitatea de laborator	Dovadă	Recompensă
Critică	ieșirea din izolarea de laborator; recuperarea materialului legat de dispozitiv (cheia discului, identitatea unității); ocolirea pornirii securizate sau a verificării semnăturilor de actualizare	N3	1.500 lei
Ridicată	execuție de cod cu privilegii de sistem, de la distanță sau din rețeaua locală; ocolirea porții de aprobare de la provizionare	N2	800 lei
Medie	acces neautorizat la datele aplicației de pe unitate sau la funcții administrative ale serviciilor locale; ocolirea autentificării dintre terminale și server	N1	400 lei
Scăzută	scurgeri de informații cu impact real, dar limitat; erori de configurare care slăbesc măsurile de mai sus fără a le anula	N1 sau demonstrație reproductibilă pe unitate, cu identificatorul și codul de sesiune	150 lei

Clasa o stabilim noi, după impactul demonstrat pe unitate. Folosim CVSS ca reper, nu ca regulă.
Suma finală se situează între 100% și 125% din valoarea clasei: bonusul se acordă pentru un raport complet, cu reproducere clară și remediere propusă.
Prima persoană care raportează o cauză rădăcină primește recompensa; rapoartele ulterioare sunt duplicate. Un lanț de vulnerabilități se plătește o singură dată, la clasa celui mai grav efect demonstrat.
Plata se face în lei, prin transfer bancar, în 30 de zile de la validarea remedierii. Obligațiile fiscale ale beneficiarului rămân ale acestuia, cu excepția sumelor pe care legea ne obligă să le reținem la sursă.

Nu se recompensează

rezultate ale scanerelor automate, fără exploatare demonstrată;
versiuni, bannere, lipsa unor antete sau setări fără impact asupra securității unității;
vulnerabilități ale componentelor terțe, fără exploatare demonstrată pe unitate;
probleme care presupun deja privilegii de administrator pe unitate și nu duc mai departe;
defecte teoretice, fără pași de reproducere;
orice a fost găsit în afara unității atribuite, cu excepția martorului de margine din secțiunea 4.

06Reguli de desfășurare

Testezi doar unitatea atribuită, doar în intervalul de acces și doar prin profilul primit.
Nu încerca să afli, să scanezi sau să atingi alte unități, rețele ori servicii.
Dacă o rută neașteptată te scoate din laborator: oprește testarea, nu enumera nimic, nu copia nimic și anunță-ne în 24 de ore. Citirea martorului de margine este singura excepție și se face o singură dată.
Nu extrage date mai mult decât e necesar pentru dovadă.
Nu lăsa persistență după sesiune și nu modifica profilul de acces. La final, readu sau cere readucerea unității la imaginea de fabrică.
Testele care pot bloca unitatea sunt acceptate (o resetăm), dar anunță-le. Nu face refuz de serviciu asupra infrastructurii noastre.
Păstrează confidențialitatea: nu publica și nu discuta detaliile înainte de remediere și de expirarea termenului din secțiunea 8.
Un participant, un acces. Nu transfera profilul altcuiva.
Respectă legea. Programul nu te scutește de obligațiile față de terți.

07Autorizare și protecție

Cât timp respecți acest document, CEAPA COOL consideră activitățile tale, desfășurate în limitele perimetrului și ale accesului atribuit, ca fiind efectuate cu drept, inclusiv în sensul art. 360-365 din Codul penal, și nu va formula plângere penală sau acțiune civilă împotriva ta pentru ele. Dacă un terț inițiază o acțiune pentru activități desfășurate conform acestui document, vom confirma în scris că au fost autorizate.

Autorizarea acoperă numai unitatea atribuită și infrastructura strict necesară accesului la ea. Nu acoperă nicio altă unitate, rețea, sistem sau persoană și nu angajează terți. Activitatea din afara perimetrului nu beneficiază de nicio protecție și poate atrage răspundere penală și civilă.

08Raportare și termene

Scrie la office (at) ceapa.cool, cu subiectul „Edge-VRP: raport”, de la adresa cu care te-ai înscris. Pentru detalii sensibile cere, în primul mesaj, un canal criptat și nu trimite detalii de exploatare în clar înainte de a-l primi.

Un raport conține: descrierea problemei și impactul, identificatorul unității și codul de sesiune, versiunea imaginii de sistem afișată la atribuire, valoarea martorului, pașii de reproducere și, opțional, o propunere de remediere.

Etapă	Termen țintă
Confirmarea primirii	3 zile lucrătoare
Evaluare inițială și stabilirea clasei	10 zile lucrătoare
Remedierea, de la validare	critică: 30 de zile · ridicată: 60 de zile · medie și scăzută: 90 de zile
Plata recompensei	30 de zile de la validarea remedierii
Divulgare coordonată	după remediere, de comun acord; cel mult 90 de zile de la confirmare, dacă nu convenim în scris o prelungire

Sunt termene țintă, nu garanții. Te ținem la curent dacă se schimbă.

09Termeni și condiții

Versiunea 2.0, revizuită în 2025. Programul a început la 13 noiembrie 2024.

Obiect și acceptare. Acest document stabilește condițiile în care CEAPA COOL S.R.L., cu sediul în Timișoara, Str. Diana nr. 4, et. 3, ap. 16, jud. Timiș, CUI 47755081, J35/956/2023 („Compania”), primește rapoarte de vulnerabilități privind Chappa Edge și plătește recompense („Programul”). Înscrierea sau trimiterea unui raport înseamnă acceptarea integrală a termenilor, în versiunea în vigoare la data respectivă.
Participanți. Pot participa persoane fizice cu capacitate deplină de exercițiu, care au cel puțin 18 ani și acționează în nume propriu. Nu pot participa angajații și colaboratorii Companiei, rudele lor de gradul întâi, persoanele aflate pe liste de sancțiuni internaționale aplicabile sau rezidente într-o jurisdicție în care participarea ar fi interzisă. Compania poate refuza ori retrage o înscriere.
Perimetru și autorizare. Secțiunile 2, 3, 4, 6 și 7 fac parte din termeni.
Confidențialitate. Detaliile rapoartelor, ale unităților de laborator și ale comunicării cu Compania sunt confidențiale până la divulgarea coordonată. Compania nu dezvăluie identitatea participantului fără acordul acestuia, în afara obligațiilor legale.
Drepturi asupra raportului. Participantul păstrează drepturile asupra raportului și acordă Companiei o licență neexclusivă, gratuită și nelimitată în timp pentru a folosi informațiile din el la remediere, testare și documentare. Accesul la o unitate nu conferă nicio licență asupra software-ului sau materialelor Companiei, în afara testării din Program. Participantul declară că raportul îi aparține și nu încalcă drepturile unui terț.
Recompense. Se acordă potrivit secțiunilor 4 și 5. Decizia asupra eligibilității, clasei și duplicatelor aparține Responsabilului de securitate produse și este finală în cadrul Programului, fără a afecta drepturile recunoscute de lege. Plata este condiționată de furnizarea datelor de identificare și a contului bancar necesare. Recompensa este un premiu, nu plata unui serviciu comandat, și nu creează relații de muncă sau de prestări servicii.
Unități de laborator. Se pun la dispoziție „ca atare”, fără date reale, și pot fi resetate sau oprite oricând. Compania nu răspunde pentru pierderea datelor sau a muncii participantului pe unitate, nici pentru echipamentele, conexiunea ori software-ul propriu al acestuia. Participantul răspunde pentru daunele cauzate prin încălcarea acestui document.
Date cu caracter personal. Compania, în calitate de operator, prelucrează numele, datele de contact, țara, datele de plată și conținutul comunicărilor pentru administrarea Programului, evaluarea rapoartelor, efectuarea plăților și respectarea obligațiilor legale, în temeiul art. 6 alin. (1) lit. b), c) și f) din Regulamentul (UE) 2016/679. Datele sunt găzduite în Uniunea Europeană și păstrate pe durata Programului, apoi cât impun obligațiile legale, în special cele contabile. Drepturile prevăzute de GDPR se exercită la adresa de contact; te poți adresa și ANSPDCP.
Modificare și încetare. Compania poate modifica termenii, suspenda sau închide Programul oricând. Modificările nu se aplică rapoartelor deja trimise, care rămân sub versiunea în vigoare la data trimiterii, iar recompensele deja validate se plătesc.
Legea aplicabilă. Legea română. Litigiile se rezolvă amiabil; în lipsa unui acord, competența aparține instanțelor de la sediul Companiei, din Timișoara.
Dispoziții finale. Documentul nu creează raport de muncă, mandat, asociere sau reprezentare și nu este o ofertă publică: recompensa se datorează doar pentru rapoartele validate conform termenilor. Nulitatea unei clauze nu afectează celelalte clauze. Versiunea în limba română prevalează.

Chappa Edge: program de recompense pentru vulnerabilități