Fox-IT: koordinované zveřejňování zranitelností

Ve společnosti Fox-IT považujeme bezpečnost našich systémů, naší sítě a našich produktů za nanejvýš důležitou. Navzdory velké péči, kterou bezpečnosti věnujeme, mohou slabá místa stále zůstat. Pokud jste takovou slabinu našli, rádi bychom se o ní dozvěděli co nejdříve, abychom mohli co nejrychleji přijmout vhodná opatření.

Slabá místa lze objevit dvěma způsoby: můžete náhodou na něco narazit při běžném používání digitálního prostředí, nebo se je můžete výslovně snažit najít.

Naše zásady odpovědného zveřejňování nejsou pozvánkou k aktivnímu skenování naší podnikové sítě za účelem objevování slabých míst. Svou podnikovou síť monitorujeme sami. To znamená, že je vysoká pravděpodobnost, že skenování bude odhaleno a že bude provedeno vyšetřování naším Security Operation Center (SOC), což by mohlo vést ke zbytečným nákladům. Jste však zváni, abyste aktivně hledali zranitelnosti v našich produktech v offline neprodukčním prostředí a své nálezy nám hlásili. Naše odpovědnost vůči zákazníkům znamená, že naším záměrem není podporovat pokusy o hackerské útoky na jejich infrastrukturu; rádi bychom se však od vás dozvěděli co nejdříve, pokud budou zranitelnosti nalezeny, abychom je mohli adekvátně vyřešit.

Rádi bychom s vámi spolupracovali, abychom mohli lépe chránit naše zákazníky a naše systémy.

Žádáme vás, abyste:

• Své nálezy co nejrychleji zaslali e-mailem na security-alert@fox-it.com.

• Nezneužívali zranitelnost; například stahováním, úpravou nebo mazáním dat. Vaše hlášení vždy vezmeme vážně a prošetříme jakékoli podezření na zranitelnost, i bez důkazů.

• Nesdíleli problém s ostatními, dokud nebude vyřešen.

• Nepoužívali útoky na fyzickou bezpečnost, sociální inženýrství ani hackerské nástroje, například skenery zranitelností.

• Poskytli dostatečné informace k reprodukci problému, abychom ho mohli vyřešit co nejrychleji. Obvykle postačí IP adresa nebo URL dotčeného systému a popis zranitelnosti, ačkoli u složitějších zranitelností mohou být zapotřebí další informace.

Co slibujeme:

• Na vaše hlášení odpovíme do tří pracovních dnů s naším vyhodnocením hlášení a očekávaným datem vyřešení.

• Vaše hlášení budeme zpracovávat důvěrně a nebudeme sdílet vaše osobní údaje s třetími stranami bez vašeho svolení. Výjimkou jsou policie a soudnictví v případě stíhání nebo pokud jsou informace vyžádány.

• Budeme vás informovat o pokroku při řešení problému.

• Při komunikaci o nahlášeném problému uvedeme vaše jméno jako stranu, která problém objevila, pokud si to přejete.

• Bohužel není možné předem zaručit, že proti vám nebudou podniknuty žádné právní kroky. Doufáme, že budeme moci posuzovat každou situaci individuálně. Považujeme se za morálně zavázané vás nahlásit, pokud máme podezření, že je slabina nebo data zneužívána, nebo že jste sdíleli znalost slabiny s ostatními. Můžete si být jisti, že náhodný objev v našem online prostředí nepovede k trestnímu stíhání.

• Jako poděkování za vaši pomoc nabízíme odměnu za každé hlášení bezpečnostního problému, který nám není znám. Hodnotu odměny určujeme na základě závažnosti narušení a kvality hlášení.

Snažíme se vyřešit všechny problémy co nejrychleji, informovat všechny zúčastněné strany a rádi bychom byli zapojeni do jakékoli publikace o problému poté, co bude vyřešen.

Příklad: Bits of Freedom

Naše závislost na digitální infrastruktuře neustále roste. To platí pro společnost jako celek, ale také pro nás samotné. Je proto naším názorem, že vlády a organizace (včetně té naší) by se měly rozhodně zavázat k zabezpečení naší digitální infrastruktury. Uvědomujeme si, že navzdory našim nejlepším úmyslům a největší péči mohou v našich systémech existovat zranitelnosti. Pokud na některou z těchto slabin narazíte, rádi se o ní dozvíme, abychom mohli problém vyřešit.

Co od vás očekáváme

• Když zkoumáte jeden z našich systémů, mějte na paměti přiměřenost útoku. Není třeba dokazovat, že když náš web podrobíte největšímu DDoS útoku v historii internetu, může se stát nedostupným. My to víme. Chápeme také, že pokud vjedete buldozerem do naší kanceláře, pravděpodobně se vám podaří uchvátit jeden z našich notebooků.

• Tato zásada přiměřenosti je relevantní i při demonstraci samotné zranitelnosti. Neměli byste prohlížet ani upravovat více dat, než je nezbytně nutné k potvrzení platnosti vašeho nálezu. Například pokud dokážete upravit naši domovskou stránku, přidejte na ni jen jediné nekontroverzní slovo místo přebírání celé stránky. Pokud se dostanete k databázi, stačí nám ukázat seznam tabulek, které v ní jsou, nebo třeba první záznam v jedné z těchto tabulek.

• Zranitelnost v jednom z našich systémů by měla být nahlášena co nejdříve zasláním e-mailu na security@bof.nl. Nejlépe svou zprávu zašifrujte pomocí OpenPGP. Poskytněte dostatek informací, abychom mohli problém reprodukovat a prošetřit.

• Veřejný klíč OpenPGP pro security@bof.nl

• Nebudete sdílet své znalosti o zranitelnosti s jinými stranami, dokud jsme problém neřešili a stále jsme v přiměřené lhůtě od doby, kdy jste problém nahlásili.

• Smažete všechny důvěrné informace, které jste získali během svého zkoumání, jakmile zranitelnost vyřešíme.

Co můžete očekávat od nás

• Na vaše hlášení odpovíme do tří dnů podrobně. Zahrneme odhad času, který budeme potřebovat k řešení problému. Samozřejmě vás budeme pravidelně informovat o našem pokroku.

• Zranitelnost vyřešíme co nejdříve. I zde je přiměřenost důležitá: doba potřebná k opravě zranitelnosti závisí na několika faktorech, mezi nimi na závažnosti a složitosti daného problému.

• Pokud se budete řídit zde uvedenými zásadami, nepodnikneme proti vám v souvislosti s vaším hlášením žádné právní kroky.

• Je pro nás důležité uvést vaši zásluhu za to, co jste udělali – pokud si to přejete. Vaše jméno uvedeme v publikaci o zranitelnosti pouze s vaším souhlasem.

• Jako poděkování za pomoc při lepší ochraně našich systémů bychom rádi odměnili každé hlášení zranitelnosti, která nám v té době nebyla známa. Odměna bude záviset na závažnosti zranitelnosti a kvalitě hlášení.

Pokud najdete zranitelnost v softwaru třetí strany, který používáme, a tato zranitelnost je pokryta programem bug bounty, nebudeme se snažit si tuto odměnu nárokovat; měli byste ji nárokovat vy.