Fox-IT Koordinierte Offenlegung von Schwachstellen

Bei Fox-IT betrachten wir die Sicherheit unserer Systeme, unseres Netzwerks und unserer Produkte als äußerst wichtig. Trotz der großen Sorgfalt, die wir auf die Sicherheit verwenden, können Schwachstellen bestehen bleiben. Wenn Sie eine solche Schwäche gefunden haben, möchten wir so schnell wie möglich davon erfahren, damit wir umgehend geeignete Maßnahmen ergreifen können.

Schwachstellen können auf zwei Arten entdeckt werden: Sie können bei der normalen Nutzung einer digitalen Umgebung zufällig auf etwas stoßen, oder Sie können ausdrücklich versuchen, sie zu finden.

Unsere Richtlinie zur verantwortungsvollen Offenlegung ist keine Einladung, unser Unternehmensnetzwerk aktiv zu scannen, um Schwachstellen zu entdecken. Wir überwachen unser Unternehmensnetzwerk selbst. Das bedeutet, dass ein Scan mit hoher Wahrscheinlichkeit entdeckt wird und unser Security Operation Center (SOC) eine Untersuchung durchführt, was unnötige Kosten verursachen könnte. Sie sind jedoch eingeladen, in einer Offline-Nichtproduktionsumgebung aktiv nach Schwachstellen in unseren Produkten zu suchen und uns Ihre Ergebnisse zu melden. Unsere Verantwortung gegenüber unseren Kunden bedeutet, dass wir Hackerangriffe auf deren Infrastruktur nicht fördern wollen; wir möchten jedoch so schnell wie möglich von Ihnen hören, wenn Schwachstellen gefunden werden, damit wir sie angemessen beheben können.

Wir möchten mit Ihnen zusammenarbeiten, um unsere Kunden und unsere Systeme besser schützen zu können.

Wir bitten Sie:

• Senden Sie Ihre Erkenntnisse so schnell wie möglich per E-Mail an security-alert@fox-it.com.

• Missbrauchen Sie die Schwachstelle nicht, zum Beispiel durch Herunterladen, Bearbeiten oder Löschen von Daten. Wir nehmen Ihre Meldung stets ernst und gehen jedem Verdacht auf eine Schwachstelle nach, auch ohne Beweis.

• Teilen Sie das Problem nicht mit anderen, bis es gelöst ist.

• Setzen Sie keine Angriffe auf die physische Sicherheit, kein Social Engineering und keine Hackingwerkzeuge wie Schwachstellenscanner ein.

• Geben Sie ausreichend Informationen zur Reproduktion des Problems, damit wir es so schnell wie möglich lösen können. Normalerweise genügen die IP-Adresse oder die URL des betroffenen Systems und eine Beschreibung der Schwachstelle, bei komplexeren Schwachstellen können jedoch mehr Informationen nötig sein.

Was wir versprechen:

• Wir antworten innerhalb von drei Werktagen auf Ihre Meldung mit unserer Bewertung und einem voraussichtlichen Datum der Lösung.

• Wir behandeln Ihre Meldung vertraulich und geben Ihre persönlichen Daten nicht ohne Ihre Erlaubnis an Dritte weiter. Eine Ausnahme bilden Polizei und Justiz im Falle einer Strafverfolgung oder wenn Informationen verlangt werden.

• Wir halten Sie über den Fortschritt bei der Lösung des Problems auf dem Laufenden.

• In der Kommunikation über das gemeldete Problem nennen wir auf Wunsch Ihren Namen als die Partei, die das Problem entdeckt hat.

• Leider ist es nicht möglich, im Voraus zu garantieren, dass keine rechtlichen Schritte gegen Sie eingeleitet werden. Wir hoffen, jede Situation einzeln betrachten zu können. Wir sehen uns moralisch verpflichtet, Sie anzuzeigen, wenn wir vermuten, dass die Schwachstelle oder Daten missbraucht werden oder dass Sie Wissen über die Schwachstelle an andere weitergegeben haben. Sie können sich darauf verlassen, dass eine zufällige Entdeckung in unserer Online-Umgebung nicht zu einer Strafverfolgung führt.

• Als Dank für Ihre Hilfe bieten wir für jede Meldung eines uns unbekannten Sicherheitsproblems eine Belohnung an. Den Wert der Belohnung bestimmen wir anhand der Schwere der Sicherheitsverletzung und der Qualität der Meldung.

Wir bemühen uns, alle Probleme so schnell wie möglich zu lösen, alle Beteiligten zu informieren und möchten an jeder Veröffentlichung zum Problem nach dessen Lösung beteiligt sein.

Beispiel: Bits of Freedom

Unsere Abhängigkeit von digitaler Infrastruktur wächst stetig. Das gilt für die Gesellschaft als Ganzes, aber auch für uns selbst. Wir sind daher der Meinung, dass sich Regierungen und Organisationen (auch unsere) nachdrücklich für den Schutz unserer digitalen Infrastruktur einsetzen sollten. Uns ist bewusst, dass trotz bester Absichten und größter Sorgfalt in unseren Systemen Schwachstellen existieren können. Sollten Sie eine dieser Schwächen finden, würden wir uns freuen, von Ihnen zu hören, damit wir das Problem beheben können.

Was wir von Ihnen erwarten

• Wenn Sie eines unserer Systeme untersuchen, denken Sie an die Verhältnismäßigkeit des Angriffs. Es ist nicht nötig zu zeigen, dass unsere Website unerreichbar werden kann, wenn Sie sie dem größten DDoS-Angriff der Internetgeschichte aussetzen. Das wissen wir. Wir verstehen auch, dass Sie, wenn Sie mit einem Bulldozer in unser Büro fahren, wahrscheinlich einen unserer Laptops schnappen können.

• Dieses Prinzip der Verhältnismäßigkeit gilt auch für die Demonstration der Schwachstelle selbst. Sie sollten nicht mehr Daten einsehen oder verändern, als unbedingt nötig ist, um die Gültigkeit Ihrer Feststellung zu bestätigen. Wenn Sie zum Beispiel unsere Startseite ändern können, fügen Sie ihr nur ein einziges unverfängliches Wort hinzu, anstatt die gesamte Seite zu übernehmen. Wenn Sie Zugriff auf eine Datenbank erhalten, genügt es, uns eine Liste der darin enthaltenen Tabellen oder vielleicht den ersten Datensatz einer dieser Tabellen zu zeigen.

• Eine Schwachstelle in einem unserer Systeme sollte so bald wie möglich per E-Mail an security@bof.nl gemeldet werden. Idealerweise verschlüsseln Sie Ihre Nachricht mit OpenPGP. Bitte geben Sie genug Informationen an, damit wir das Problem reproduzieren und untersuchen können.

• Der öffentliche OpenPGP-Schlüssel für security@bof.nl

• Sie geben Ihr Wissen über die Schwachstelle nicht an Dritte weiter, solange wir das Problem nicht behoben haben und seit Ihrer Meldung noch ein angemessener Zeitraum nicht verstrichen ist.

• Sie löschen alle vertraulichen Informationen, die Sie bei Ihrer Untersuchung erlangt haben, sobald wir die Schwachstelle behoben haben.

Was Sie von uns erwarten können

• Wir antworten innerhalb von drei Tagen ausführlich auf Ihre Meldung. Wir nennen eine Schätzung der Zeit, die wir zur Behebung benötigen. Natürlich halten wir Sie regelmäßig über unseren Fortschritt auf dem Laufenden.

• Wir beheben die Schwachstelle so schnell wie möglich. Auch hier ist Verhältnismäßigkeit wichtig: Die zur Behebung einer Schwachstelle nötige Zeit hängt von mehreren Faktoren ab, darunter Schwere und Komplexität des Problems.

• Wenn Sie die hier dargelegten Richtlinien befolgen, ergreifen wir im Zusammenhang mit Ihrer Meldung keine rechtlichen Schritte gegen Sie.

• Es ist uns wichtig, Sie für Ihre Leistung zu würdigen – wenn Sie das wünschen. Wir nennen Ihren Namen in einer Veröffentlichung zur Schwachstelle nur, wenn Sie zustimmen.

• Als Dank dafür, dass Sie uns helfen, unsere Systeme besser zu schützen, möchten wir jede Meldung einer uns zum damaligen Zeitpunkt unbekannten Schwachstelle belohnen. Die Belohnung hängt von der Schwere der Schwachstelle und der Qualität der Meldung ab.

Sollten Sie in von uns genutzter Drittsoftware eine Schwachstelle finden, die von einem Bug-Bounty-Programm abgedeckt ist, versuchen wir nicht, diese Prämie zu beanspruchen; Sie sollten das tun.