Bits of Freedom - Koordinierte Offenlegung von Schwachstellen

Unsere Abhängigkeit von digitaler Infrastruktur wächst stetig. Das gilt für die Gesellschaft als Ganzes, aber auch für uns selbst. Wir sind daher der Meinung, dass sich Regierungen und Organisationen (auch unsere) nachdrücklich für den Schutz unserer digitalen Infrastruktur einsetzen sollten. Uns ist bewusst, dass trotz bester Absichten und größter Sorgfalt in unseren Systemen Schwachstellen existieren können. Sollten Sie eine dieser Schwächen finden, würden wir uns freuen, von Ihnen zu hören, damit wir das Problem beheben können.

Was wir von Ihnen erwarten

Wenn Sie eines unserer Systeme untersuchen, denken Sie an die Verhältnismäßigkeit des Angriffs. Es ist nicht nötig zu zeigen, dass unsere Website unerreichbar werden kann, wenn Sie sie dem größten DDoS-Angriff der Internetgeschichte aussetzen. Das wissen wir. Wir verstehen auch, dass Sie, wenn Sie mit einem Bulldozer in unser Büro fahren, wahrscheinlich einen unserer Laptops schnappen können.
Dieses Prinzip der Verhältnismäßigkeit gilt auch für die Demonstration der Schwachstelle selbst. Sie sollten nicht mehr Daten einsehen oder verändern, als unbedingt nötig ist, um die Gültigkeit Ihrer Feststellung zu bestätigen. Wenn Sie zum Beispiel unsere Startseite ändern können, fügen Sie ihr nur ein einziges unverfängliches Wort hinzu, anstatt die gesamte Seite zu übernehmen. Wenn Sie Zugriff auf eine Datenbank erhalten, genügt es, uns eine Liste der darin enthaltenen Tabellen oder vielleicht den ersten Datensatz einer dieser Tabellen zu zeigen.
Eine Schwachstelle in einem unserer Systeme sollte so bald wie möglich per E-Mail an security@bof.nl gemeldet werden. Idealerweise verschlüsseln Sie Ihre Nachricht mit OpenPGP. Bitte geben Sie genug Informationen an, damit wir das Problem reproduzieren und untersuchen können.
Der öffentliche OpenPGP-Schlüssel für security@bof.nl
Sie geben Ihr Wissen über die Schwachstelle nicht an Dritte weiter, solange wir das Problem nicht behoben haben und seit Ihrer Meldung noch ein angemessener Zeitraum nicht verstrichen ist.
Sie löschen alle vertraulichen Informationen, die Sie bei Ihrer Untersuchung erlangt haben, sobald wir die Schwachstelle behoben haben.

Was Sie von uns erwarten können

Wir antworten innerhalb von drei Tagen ausführlich auf Ihre Meldung. Wir nennen eine Schätzung der Zeit, die wir zur Behebung benötigen. Natürlich halten wir Sie regelmäßig über unseren Fortschritt auf dem Laufenden.
Wir beheben die Schwachstelle so schnell wie möglich. Auch hier ist Verhältnismäßigkeit wichtig: Die zur Behebung einer Schwachstelle nötige Zeit hängt von mehreren Faktoren ab, darunter Schwere und Komplexität des Problems.
Wenn Sie die hier dargelegten Richtlinien befolgen, ergreifen wir im Zusammenhang mit Ihrer Meldung keine rechtlichen Schritte gegen Sie.
Es ist uns wichtig, Sie für Ihre Leistung zu würdigen – wenn Sie das wünschen. Wir nennen Ihren Namen in einer Veröffentlichung zur Schwachstelle nur, wenn Sie zustimmen.
Als Dank dafür, dass Sie uns helfen, unsere Systeme besser zu schützen, möchten wir jede Meldung einer uns zum damaligen Zeitpunkt unbekannten Schwachstelle belohnen. Die Belohnung hängt von der Schwere der Schwachstelle und der Qualität der Meldung ab.
Sollten Sie in von uns genutzter Drittsoftware eine Schwachstelle finden, die von einem Bug-Bounty-Programm abgedeckt ist, versuchen wir nicht, diese Prämie zu beanspruchen; Sie sollten das tun.