카지노친구는 사용자의 개인정보 보호 및 데이터 보안을 최우선 가치로 여기고 있습니다. ‘보안 취약점 책임 공개(Security & Responsible Disclosure)’ 정책에 따라 사용자 여러분께서 경험한 보안 취약점을 비공개로 카지노친구에 제보하시면, 최대한 빠르게 내용을 검토하여 패치하고 이를 투명하게 공개합니다.
보안 취약점 책임 공개는 시스템 및 소프트웨어, 네트워크 등의 보안 취약점을 개선하여, 악의적인 사용자에 의해 악용되기 전에 사용자 및 시스템의 보안을 강화하는 것이 목적입니다. 공개된 취약점을 수정하여 배포하므로, 사용자 여러분은 더욱 안심하고 안전한 시스템을 사용할 수 있습니다. 나아가 연구자와 개발자 간의 협력을 촉진하여 보안 강화에 기여합니다.
보안 취약점 책임 공개 프로세스
- 연구자가 카지노친구(https://kcasinofriend.com)의 보안 취약점을 발견합니다.
- 연구자는 해당 취약점을 개발자에게 비공개로 알립니다.
- 개발자는 취약점을 확인하고 위험도 평가 후, 핫픽스(HotFix, 긴급 패치) 혹은 완화 방법을 적용합니다.
- 개발자는 보안 취약점 책임 공개 시점에 대하여 연구자와 협의합니다.
- 취약점이 완전히 수정된 후 취약점의 영향, 재현, 완화 상태를 정리하여 투명하게 공개합니다.
보안 취약점 제보 채널 및 PGP
- 📧 이메일 (권장 PGP) : [email protected] (민감한 정보는 반드시 암호화 후 전송)
- 📝 일반 채널 : 문의하기 양식에서 ‘보안 취약점 제보’ 항목에 체크 후 발송
보안 취약점 제보시 유의사항
- 보안 취약점을 개발자에게 비공개로 보고할 때는 안전한 데이터 송수신을 위해 PGP 암호화를 거쳐 제보하는 것이 좋습니다. 카지노친구의 서비스 중단을 야기하거나 데이터를 파괴하는 테스트는 엄격히 금지됩니다.
- 합리적인 범위 안에서 ‘세이프 하버(Safe Harbor)’를 지향합니다. 세이프 하버란, 특정 행위가 주어진 규칙을 위반하지 않도록 지정하는 규정을 의미합니다. 따라서 보안 취약점 제보는 선의(善意)에 의한 것이어야 하며, 관련 법령을 준수하는 범위 내에서 이루어져야 합니다.
보안 취약점 제보 대상 및 제외 대상
보안 취약점 제보 대상에 해당되는지 알 수 없는 경우 ‘보안 취약점 제보 채널’로 문의하여 해당 여부를 확인 부탁드립니다.
| 항목 | 상세 내용 |
|---|---|
| 제보 대상 (In Scope) | – kcasinofriend.com 및 합법적 서브 도메인 – 인증, 세션, 권한 – 데이터 보호 관련 취약점(XSS, BAC, IDOR, CSRF 등) – 공식 API – 관리 백오피스 |
| 제외 대상 (Out of Scope) | – DoS(Denial of Service) 공격 – 리소스 고갈, 자동 스캔에 의한 대량 트래픽 발생 – 클릭 재킹(Clickjacking) 이슈 – 단독 레이트리밋(Rate Limit) 이슈 – 페이지 버전 및 배너, 문구 등의 단순 오기 – SPF, DMARC 단순 권고 |
대응 절차 및 서비스 수준 계약(SLA)
- 접수 확인 : 1~3 영업일 내 1차 회신 (추적 ID 발급)
- 평가 및 조치 : 취약점의 영향 및 위험도에 따라 핫픽스, 우회, 비활성화 등의 조치
- 투명한 공개 : 취약점 개선 조치 후 자문을 거쳐 해당 내용을 투명하게 공개
암호화 및 전송 계층 보안(TLS)
구체적인 설정은 악의적인 목적의 사용을 막기 위해 보안 정책상 전면 공개하지 않습니다.
- 전송 구간 : 최신 안정 채널 기준 TLS 우선, HSTS(HTTP Strict Transport Security) 적용(서브 도메인 포함)
- 저장 구간 : 민감정보 및 접근 권한 최소화, 비가역 및 강화 토큰 저장
- 키(Key) 관리 : 롤링 및 폐기 정책, 접근 로그(Log) 감사
보안 헤더 정책 (예시)
구체적인 설정은 악의적인 목적의 사용을 막기 위해 보안 정책상 전면 공개하지 않습니다. 각 페이지 및 기능의 특성에 따라 세부적인 설정 값은 다를 수 있습니다.
| 헤더 | 예시 값 |
|---|---|
| Content Security Policy | default-src ‘self’; frame-ancestors ‘none’; upgrade-insecure-requests; |
| Strict Transport Security | max-age=31536000; includeSubDomains; preload |
| X-Content Type Options | nosniff |
| Referrer Policy | strict-origin-when-cross-origin |
| Permissions Policy | camera=(), geolocation=(), microphone=() |
| Cross Origin Opener Policy | same-origin |
| Cross Origin Resource Policy | same-origin |
사고 대응 및 투명성 보고서
- IR(Incident Response, 침해 대응) DR(Disaster Recovery, 재해 복구) 훈련 정기 수행
- 접근 권한 정기 점검 수행
- 이상 행위 탐지 및 로깅 모니터링 시스템 구축
- 운영 투명성과 관련한 내용은 투명성 보고서에서 확인 가능
