Beispiel für die Offenlegung von Schwachstellen von ResponsibleDisclosure.nl

Bei der Acme Corporation betrachten wir die Sicherheit unserer Systeme als oberste Priorität. Doch egal, wie viel Mühe wir in die Systemsicherheit stecken, es kann dennoch Schwachstellen geben.

Wenn Sie eine Schwachstelle entdecken, möchten wir davon erfahren, damit wir so schnell wie möglich Maßnahmen ergreifen können.

Wir bitten Sie, uns zu helfen, unsere Kunden und unsere Systeme besser zu schützen.

Bitte gehen Sie wie folgt vor:

• Senden Sie Ihre Erkenntnisse per E-Mail an cert@example.com. Verschlüsseln Sie Ihre Erkenntnisse mit unserem PGP-Schlüssel, damit diese kritischen Informationen nicht in falsche Hände geraten,

• Nutzen Sie die entdeckte Schwachstelle oder das Problem nicht aus, zum Beispiel indem Sie mehr Daten herunterladen, als zum Nachweis der Schwachstelle nötig ist, oder Daten anderer Personen löschen oder verändern,

• Legen Sie das Problem anderen gegenüber nicht offen, bis es gelöst ist,

• Setzen Sie keine Angriffe auf die physische Sicherheit, kein Social Engineering, keine verteilten Denial-of-Service-Angriffe, keinen Spam und keine Anwendungen Dritter ein, und

• Geben Sie ausreichend Informationen zur Reproduktion des Problems an, damit wir es so schnell wie möglich lösen können. Normalerweise genügen die IP-Adresse oder die URL des betroffenen Systems und eine Beschreibung der Schwachstelle, bei komplexen Schwachstellen kann jedoch eine weitere Erläuterung nötig sein.

Was wir versprechen:

• Wir antworten innerhalb von 3 Werktagen auf Ihre Meldung mit unserer Bewertung und einem voraussichtlichen Datum der Lösung,

• Wenn Sie die obigen Anweisungen befolgt haben, ergreifen wir im Zusammenhang mit der Meldung keine rechtlichen Schritte gegen Sie,

• Wir behandeln Ihre Meldung streng vertraulich und geben Ihre persönlichen Daten nicht ohne Ihre Erlaubnis an Dritte weiter,

• Wir halten Sie über den Fortschritt bei der Lösung des Problems auf dem Laufenden,

• In den öffentlichen Informationen zum gemeldeten Problem nennen wir Ihren Namen als Entdecker des Problems (sofern Sie nichts anderes wünschen), und

• Als Zeichen unserer Dankbarkeit für Ihre Hilfe bieten wir für jede Meldung eines uns noch nicht bekannten Sicherheitsproblems eine Belohnung an. Die Höhe der Belohnung richtet sich nach der Schwere des Lecks und der Qualität der Meldung. Die Mindestbelohnung ist ein Geschenkgutschein über 50 €.

Wir bemühen uns, alle Probleme so schnell wie möglich zu lösen, und möchten bei der abschließenden Veröffentlichung zum Problem nach dessen Lösung eine aktive Rolle spielen.

Dieser Text wurde von Floor Terra verfasst und unter einer Creative-Commons-Lizenz Namensnennung 3.0 Unported veröffentlicht.