# iSecOS — Quy chế tiếp nhận và tiết lộ lỗ hổng bảo mật (Security Disclosure Policy)

**Tài liệu:** SECURITY-DISCLOSURE.md
**Phiên bản:** 1.0 · **Ngày hiệu lực:** 06/11/2026
**Phạm vi:** Toàn bộ sản phẩm và hạ tầng iSecOS — hệ điều hành iSecOS (desktop & server),
các tiện ích `isecos-*`, iSecOS Control Center + Agent, hạ tầng phát hành
`isecos.isecurity.vn` (APT mirror, repo GPG, portal, API)
**Đơn vị tiếp nhận:** 44+ Technologies / iSecurity — Bộ phận An ninh sản phẩm iSecOS

> **Tóm tắt:** Tìm thấy lỗ hổng? Gửi ngay về **security@isecurity.vn** (mã hóa PGP nếu
> được — xem mục 2.2). Chúng tôi cam kết **xác nhận trong 24 giờ**, **đánh giá ban đầu
> trong 72 giờ**, sửa lỗi theo thời hạn mức nghiêm trọng, và công bố có trách nhiệm theo
> nguyên tắc **90 ngày**. KHÔNG kiện, KHÔNG truy cứu người báo cáo tuân thủ quy chế này —
> kể cả khi không có bug bounty.

---

## Mục lục

1. [Phạm vi được phép kiểm tra](#1-phạm-vi-được-phép-kiểm-tra)
2. [Cách báo cáo lỗ hổng](#2-cách-báo-cáo-lỗ-hổng)
3. [Cam kết phản hồi của iSecurity](#3-cam-kết-phản-hồi-của-isecurity)
4. [Tiến trình xử lý & mốc thời gian](#4-tiến-trình-xử-lý--mốc-thời-gian)
5. [Nguyên tắc tiết lộ có trách nhiệm (90 ngày)](#5-nguyên-tắc-tiết-lộ-có-trách-nhiệm-90-ngày)
6. [Phân loại mức nghiêm trọng](#6-phân-loại-mức-nghiêm-trọng)
7. [Bug Bounty (kế hoạch tương lai)](#7-bug-bounty-kế-hoạch-tương-lai)
8. [An toàn cho người báo cáo (Safe Harbor)](#8-an-toàn-cho-người-báo-cáo-safe-harbor)
9. [Liên hệ](#9-liên-hệ)

---

## 1. Phạm vi được phép kiểm tra

### 1.1. Trong phạm vi (được khuyến khích báo cáo)

| Hạng mục | Ví dụ điển hình |
|---|---|
| Hệ điều hành iSecOS | Cấu hình hardened sai sót, lỗ hổng leo thang đặc quyền trong script `isecos-*` (race condition, injection lệnh, weak sudo), bypass AppArmor profile iSecOS |
| Cơ chế bảo mật | Bypass MFA (TOTP/U2F/PIV), bypass DLP usbguard, bypass NAC default-deny nftables, yếu tố khóa LUKS2/clevis, hỏng chuỗi kiểm chứng GPG của `isecos-upgrade` |
| Control Center & API | Lỗ hổng FastAPI (injection, IDOR, vượt phân quyền JWT, lộ enroll key), lỗi xác thực |
| Agent | Giả mạo checkin/enrollment, injection payload qua trường hostname, leo thang từ agent lên máy |
| Hạ tầng `isecos.isecurity.vn` | Lỗi TLS, lộ file nhạy cảm trên nginx, repo APT ký sai (key compromise), XSS/CSRF portal |
| Gói phát hành | ISO bị thao túng, SHA256SUMS/`.sig` lệch, backdoor trong gói `isecos-base` / `gochat-desktop` |

### 1.2. Ngoài phạm vi (không xử lý theo quy chế này)

- Lỗ hổng nằm **trong phần mềm upstream** (Linux kernel, GNOME, Chromium, LibreOffice,
  Thunderbird…) → báo cáo cho dự án upstream theo quy chế của họ (ví dụ
  security@kernel.org, security@mozilla.org); iSecurity theo dõi và vá qua mirror khi có
  bản sửa — bạn vẫn có thể báo cho chúng tôi để **đẩy nhanh việc vá trên fleet iSecOS**.
- Tấn công vật lý cần tiếp cận trực tiếp đĩa đã mở khóa / có sẵn mật khẩu.
- Lỗ hổng chỉ tái hiện trên sản phẩm khác vận hành sai hướng dẫn (không theo tài liệu
  INSTALL-GUIDE / SERVER-REQUIREMENTS).
- Spam, báo cáo tự động quét rác (mass scanner output) không có phân tích.
- Kỹ thuật xã hội (social engineering) đối với nhân viên iSecurity — báo cáo dạng này
  vẫn được ghi nhận như cảnh báo nhưng không tính là lỗ hổng sản phẩm.

### 1.3. Quy tắc kiểm tra cho phép

- **Chỉ dò đoán (test) trên hệ thống do chính bạn sở hữu** (máy ảo cài ISO iSecOS, bản
  Control Center self-host của bạn) hoặc môi trường lab do iSecurity chỉ định khi có thỏa
  thuận.
- **TUYỆT ĐỐI KHÔNG** thử nghiệm trên: hệ thống sản xuất của cơ quan khách hàng, hạ tầng
  `isecos.isecurity.vn` bằng các tấn công phá hoại (DoS/DDoS, spam, phá dữ liệu), hay các
  thao tác ảnh hưởng máy người khác trong fleet.
- Không đánh cắp, không thay đổi, không công bố dữ liệu của người khác nếu vô tình truy
  cập được — báo cáo ngay và mô tả cách truy cập.

## 2. Cách báo cáo lỗ hổng

### 2.1. Kênh báo cáo

| Kênh | Địa chỉ | Dùng khi |
|---|---|---|
| **Email bảo mật (chuẩn)** | **security@isecurity.vn** | Mọi báo cáo |
| Email chung | isecos@isecurity.vn | Thắc mắc chung (không nhạy cảm) |
| Cơ quan khách hàng | Qua kênh quản trị tổ chức đã ký hợp đồng hỗ trợ | Khi lỗ hổng ảnh hưởng hệ thống đang vận hành thật của cơ quan |

### 2.2. Mã hóa báo cáo (khuyến nghị)

Báo cáo nên được mã hóa PGP/GPG bằng public key của bộ phận an ninh iSecOS. Cho tới khi
khóa riêng `security@` được tạo và công bố trên website (việc cần làm — mục 4.6), tạm dùng
**khóa ký phát hành iSecOS hiện hành** để liên hệ xác thực:

```
Key:      iSecOS Release <isecos@isecurity.vn>
Fingerprint: 33D452CF996BC87150D291AB00F623A3E6B35107
File:     (công bố kèm website 1.0 — hiện lấy qua admin isecos@)
```

> Lưu ý: khóa trên là khóa ký ISO (dùng kiểm chứng chữ ký email), sẽ được thay bằng khóa
> encryption riêng của security@ trong bản cập nhật kế tiếp của quy chế.

### 2.3. Nội dung báo cáo nên gồm

1. **Mô tả** lỗ hổng và tác động có thể có (một đoạn văn ngắn).
2. **Các bước tái hiện** (step-by-step) hoặc PoC (script/curl command).
3. **Môi trường**: phiên bản iSecOS (`cat /etc/os-release`), kiến trúc (amd64/arm64),
   bản Control Center nếu liên quan.
4. **Ảnh chụp/log** (nếu có).
5. **Đánh giá mức độ** theo bảng mục 6 (nếu bạn tự đánh giá được).
6. **Thông tin liên hệ** của bạn + cách bạn muốn được ghi nhận công khai (tên/tên ẩn danh
   /không ghi nhận).
7. Có ý định công bố theo mốc 90 ngày hay để iSecurity quyết định (xem mục 5).

## 3. Cam kết phản hồi của iSecurity

| Mốc | Cam kết |
|---|---|
| **Xác nhận tiếp nhận (acknowledgment)** | **Trong vòng 24 giờ** kể từ khi nhận email (ngày làm việc) — trả lời kèm mã theo dõi (VULN-YYYY-nnn) |
| **Đánh giá ban đầu + phân loại mức nghiêm trọng** | **Trong vòng 72 giờ** — xác nhận có phải lỗ hổng thật, mức độ (mục 6), kế hoạch sửa dự kiến |
| Cập nhật tiến độ | Ít nhất mỗi 7 ngày cho đến khi đóng vòng xử lý |
| Thông báo bản vá | Kèm bản phát hành ISO/repo tiếp theo + khuyến cáo (advisory) công khai |
| Ghi nhận người báo cáo | Trong advisory (nếu bạn đồng ý) — mục 5.3 |

**Nếu vượt mốc cam kết:** người báo cáo được quyền tiếp tục theo lộ trình tiết lộ 90 ngày
(mục 5) mà không bị coi là vi phạm quy chế.

## 4. Tiến trình xử lý & mốc thời gian

```
Nhận báo cáo ─24h─► Xác nhận + mã VULN ─72h─► Đánh giá ban đầu + phân loại
     │                                                    │
     ▼                                                    ▼
Sửa lỗi theo thời hạn mục 6 ──► Bản vá phát hành ──► Advisory công khai ──► Đóng VULN
```

### 4.1. Thời hạn sửa theo mức nghiêm trọng (khởi điểm từ khi đánh giá ban đầu)

| Mức | Thời hạn có bản vá (hoặc biện pháp giảm thiểu tạm thời) |
|---|---|
| Nghiêm trọng (Critical) | 7 ngày — biện pháp tạm thời trong 48 giờ |
| Cao (High) | 14 ngày |
| Trung bình (Medium) | 30 ngày |
| Thấp (Low) | 90 ngày hoặc gom vào bản phát hành kế tiếp |

### 4.2. Vòng xử lý nội bộ

1. Gán người phụ trách (triager) — duy nhất một đầu mối liên hệ với người báo cáo.
2. Tái hiện trong lab (QEMU profile chuẩn `test/`).
3. Đánh giá tác động lên fleet đang vận hành (nếu có) + cơ quan đang pilot.
4. Phát triển vá + kiểm thử; vá chia hai lớp khi cần: (a) hotfix qua repo apt
   (`mota-x-security`), (b) sửa gốc trong kho mã nguồn cho bản ISO kế tiếp.
5. Kiểm tra phát sinh (regression) bằng bộ test E2E hiện có (`os/tools/vm/`).

### 4.3. Thông báo cho khách hàng cơ quan

- Lỗ hổng Critical/High ảnh hưởng máy đang vận hành: thông báo **qua kênh quản trị tổ
  chức** (email + Control Center dashboard) trong 48 giờ kể từ khi xác nhận, kèm hướng
  dẫn giảm thiểu nếu chưa có bản vá.
- Danh sách khách hàng nhận thông báo do hợp đồng dịch vụ quy định.

### 4.4. Khuyến cáo công khai (advisory)

Mỗi lỗ hổng đã vá được công bố tại `https://isecos.isecurity.vn/security/advisories/`
với: mã VULN, mô tả, mức độ (CVSS nếu tính được), các phiên bản bị ảnh hưởng, phiên bản
đã vá, credit người báo cáo (nếu đồng ý), tham chiếu CVE (nếu được cấp).

### 4.5. Yêu cầu CVE

Với lỗ hổng trong thành phần tự viết (`isecos-*`, Control Center), iSecurity xin cấp CVE
qua MITRE/CNA khi lỗ hổng mức Medium trở lên. Với lỗ hổng upstream, CVE do upstream quản.

### 4.6. Việc cần làm để hoàn thiện quy chế (trạng thái 06/11/2026)

- [ ] Tạo và công bố khóa PGP riêng cho security@isecurity.vn (hiện chỉ có khóa ký phát
      hành — mục 2.2)
- [ ] Dựng trang web `/security/advisories/` (Phase 3 cùng portal công khai)
- [ ] Thiết lập hộp thư chung nhiều người theo dõi (không phụ thuộc 1 cá nhân)
- [ ] Khởi tạo trình tự CVE (liên hệ MITRE CNA request) khi có lỗ hổng đầu tiên đủ điều kiện

## 5. Nguyên tắc tiết lộ có trách nhiệm (90 ngày)

1. **Mốc 90 ngày:** iSecurity cam kết công bố thông tin lỗ hổng (sau khi đã có bản vá)
   trong tối đa **90 ngày** kể từ ngày báo cáo ban đầu — áp dụng cả khi bản vá chưa hoàn
   tất nếu người dùng cần biết để tự bảo vệ.
2. **Phối hợp với người báo cáo:** ngày công bố cụ thể được thống nhất với người báo cáo;
   iSecurity có thể xin gia hạn tối đa 30 ngày nữa khi có lý do chính đáng (ví dụ máy
   đang vận hành thật cần thời gian cập nhật theo chu kỳ của cơ quan) — người báo cáo có
   quyền từ chối gia hạn.
3. **Ghi nhận:** người báo cáo được nêu tên trong advisory (hoặc ẩn danh theo yêu cầu).
4. **Không công bố chi tiết khai thác** cho lỗ hổng Critical đang chưa có vá đầy đủ trên
   toàn fleet — advisory giai đoạn đầu chỉ mô tả tác động + biện pháp giảm thiểu; chi tiết
   kỹ thuật (PoC) công bố sau 30 ngày kể từ ngày bản vá cuối.
5. **Đối với lỗ hổng được tìm thấy trong đánh giá độc lập** (penetration test bên thứ 3 —
   `docs/commercial-gap-analysis.md` B.3): cùng quy chế, thời hạn bắt đầu từ ngày báo cáo
   của đơn vị kiểm định.

## 6. Phân loại mức nghiêm trọng

Dựa theo CVSS v3.1 (hoặc đánh giá chuyên gia khi chưa tính điểm):

| Mức | CVSS | Ví dụ trong bối cảnh iSecOS |
|---|---|---|
| **Critical** | 9.0–10.0 | RCE từ xa không cần xác thực trên Control Center; leo thang lên root từ tài khoản người dùng; bypass hoàn toàn DLP/MFA; rò khóa ký repo GPG |
| **High** | 7.0–8.9 | RCE cần xác thực; IDOR đọc dữ liệu fleet khác; bypass một phần usbguard; từ chối dịch vụ máy |
| **Medium** | 4.0–6.9 | Lộ thông tin cấu hình nhạy cảm; CSRF/XSS portal; bypass chính sách ở mức hạn chế |
| **Low** | 0.1–3.9 | Lộ thông tin không nhạy cảm; lỗi cấu hình nhỏ không khai thác trực tiếp |

## 7. Bug Bounty (kế hoạch tương lai)

**Trạng thái hiện tại: CHƯA CÓ chương trình thưởng.** Quy chế này hoạt động theo nguyên tắc
ghi nhận (acknowledgment) — không có tiền thưởng.

Lộ trình dự kiến (ràng buộc theo tiến trình thương mại hóa — Beta/RC/1.0 trong
`docs/commercial-gap-analysis.md` Phần D):

| Giai đoạn | Hình thức |
|---|---|
| Beta — RC | Ghi nhận công khai trong advisory + quà tặng lưu niệm (swag) |
| Sau 1.0 Stable | **Bug bounty có thưởng** — dự kiến phạm vi Control Center + isecos-* tools; khung: Low 50 USD → Critical 2.000+ USD (chốt khi công bố); ưu tiên báo cáo từ hệ sinh thái an ninh mạng Việt Nam |
| Sau thương mại hóa ổn định | Mở rộng phạm vi hạ tầng `isecos.isecurity.vn`, xét hạng "Hall of Fame" thường niên |

> Khi chính thức ra mắt bug bounty, bảng giá trị và điều khoản sẽ được công bố trên
> `isecos.isecurity.vn/security/bug-bounty/` và quy chế này sẽ cập nhật liên kết.

## 8. An toàn cho người báo cáo (Safe Harbor)

- iSecurity cam kết **KHÔNG truy cứu trách nhiệm pháp lý / không kiện** người nào phát
  hiện lỗ hổng và báo cáo theo quy chế này, kể cả khi hành vi kiểm tra vô tình vượt nhẹ
  một điểm trong mục 1.3 (miễn là không có phá hoại, không đánh cắp dữ liệu, không lợi
  dụng nhu lợi bất chính, không công bố trước khi hết mốc 90 ngày hoặc trước khi thống
  nhất với chúng tôi).
- Nếu bạn vô tình truy cập dữ liệu thật trong quá trình kiểm tra: không tải về, không sao
  chép, xóa bản sao cục bộ nếu có, báo cáo ngay — chúng tôi xử lý như báo cáo tuân thủ.
- Người báo cáo đang là nhân viên/can thiệp viên của cơ quan khách hàng: quy chế nội bộ
  tổ chức bạn vẫn được tôn trọng; báo cáo gửi qua kênh quản trị tổ chức (mục 2.1) cũng
  hưởng cùng cam kết phản hồi.

## 9. Liên hệ

```
Bộ phận An ninh sản phẩm iSecOS — 44+ Technologies / iSecurity
Báo cáo lỗ hổng:   security@isecurity.vn  (mã hóa PGP — mục 2.2)
Thắc mắc chung:    isecos@isecurity.vn
Website:           https://isecos.isecurity.vn/
Trang advisory:    https://isecos.isecurity.vn/security/advisories/  (Phase 3)
```

---

| Phiên bản | Ngày | Thay đổi |
|---|---|---|
| 1.0 | 06/11/2026 | Bản đầu tiên — áp dụng cho toàn bộ sản phẩm iSecOS alpha6+ và hạ tầng isecos.isecurity.vn |

*Tài liệu thuộc bộ hồ sơ pháp lý iSecOS (`docs/legal/`), liên kết chéo với
`PRIVACY-POLICY.md` (dữ liệu sự cố) và `LICENSE-COMPLIANCE.md` (nghĩa vụ nguồn mở khi vá
gói GPL).*