Fox-IT: συντονισμένη γνωστοποίηση ευπαθειών

Στη Fox-IT θεωρούμε την ασφάλεια των συστημάτων, του δικτύου και των προϊόντων μας εξαιρετικά σημαντική. Παρά τη μεγάλη φροντίδα που δείχνουμε για την ασφάλεια, μπορεί να παραμένουν αδύναμα σημεία. Αν έχετε βρει μια τέτοια αδυναμία, θα θέλαμε να το μάθουμε το συντομότερο δυνατό ώστε να λάβουμε τα κατάλληλα μέτρα όσο πιο γρήγορα γίνεται.

Τα αδύναμα σημεία μπορούν να ανακαλυφθούν με δύο τρόπους: μπορεί να πέσετε τυχαία πάνω σε κάτι κατά την κανονική χρήση ενός ψηφιακού περιβάλλοντος ή μπορεί ρητά να κάνετε ό,τι μπορείτε για να τα βρείτε.

Η πολιτική υπεύθυνης γνωστοποίησής μας δεν αποτελεί πρόσκληση για ενεργή σάρωση του επιχειρηματικού μας δικτύου για την ανακάλυψη αδύναμων σημείων. Παρακολουθούμε το επιχειρηματικό μας δίκτυο οι ίδιοι. Αυτό σημαίνει ότι υπάρχει μεγάλη πιθανότητα μια σάρωση να εντοπιστεί και να διεξαχθεί έρευνα από το Κέντρο Επιχειρήσεων Ασφαλείας (Security Operation Center, SOC) μας, κάτι που θα μπορούσε να οδηγήσει σε περιττό κόστος. Ωστόσο, σας προσκαλούμε να αναζητήσετε ενεργά ευπάθειες στα προϊόντα μας σε περιβάλλον εκτός σύνδεσης, εκτός παραγωγής, και να μας αναφέρετε τα ευρήματά σας. Η ευθύνη μας απέναντι στους πελάτες σημαίνει ότι πρόθεσή μας δεν είναι να ενθαρρύνουμε απόπειρες χάκινγκ στην υποδομή τους· ωστόσο, θα θέλαμε να ακούσουμε από εσάς το συντομότερο δυνατό αν βρεθούν ευπάθειες, ώστε να τις επιλύσουμε επαρκώς.

Θα θέλαμε να συνεργαστούμε μαζί σας για να μπορέσουμε να προστατεύσουμε καλύτερα τους πελάτες και τα συστήματά μας.

Σας ζητάμε να:

• Στείλετε τα ευρήματά σας με email το συντομότερο δυνατό στο security-alert@fox-it.com.

• Μην καταχραστείτε την ευπάθεια· για παράδειγμα, κατεβάζοντας, επεξεργαζόμενοι ή διαγράφοντας δεδομένα. Θα παίρνουμε πάντα στα σοβαρά την αναφορά σας και θα ερευνούμε οποιαδήποτε υποψία ευπάθειας, ακόμη και χωρίς απόδειξη.

• Μη μοιραστείτε το πρόβλημα με άλλους μέχρι να επιλυθεί.

• Μη χρησιμοποιήσετε επιθέσεις στη φυσική ασφάλεια, κοινωνική μηχανική ή εργαλεία χάκινγκ, όπως σαρωτές ευπαθειών.

• Δώστε επαρκείς πληροφορίες για να αναπαραχθεί το πρόβλημα ώστε να μπορέσουμε να το επιλύσουμε όσο το δυνατόν συντομότερα. Συνήθως, η διεύθυνση IP ή το URL του επηρεαζόμενου συστήματος και μια περιγραφή της ευπάθειας επαρκούν, αν και ενδέχεται να χρειάζονται περισσότερες πληροφορίες για πιο σύνθετες ευπάθειες.

Τι υποσχόμαστε:

• Θα απαντήσουμε στην αναφορά σας εντός τριών εργάσιμων ημερών, με την αξιολόγησή μας για την αναφορά και μια αναμενόμενη ημερομηνία επίλυσης.

• Θα χειριστούμε την αναφορά σας εμπιστευτικά και δεν θα μοιραστούμε τα προσωπικά σας στοιχεία με τρίτους χωρίς την άδειά σας. Εξαίρεση σε αυτό αποτελούν η αστυνομία και η δικαιοσύνη σε περίπτωση δίωξης ή αν ζητηθούν πληροφορίες.

• Θα σας ενημερώνουμε για την πρόοδο της λύσης του προβλήματος.

• Στην επικοινωνία για το αναφερθέν πρόβλημα, θα αναφέρουμε το όνομά σας ως του μέρους που ανακάλυψε το πρόβλημα, αν το επιθυμείτε.

• Δυστυχώς δεν είναι δυνατόν να εγγυηθούμε εκ των προτέρων ότι δεν θα ληφθεί νομική ενέργεια εναντίον σας. Ελπίζουμε να μπορούμε να εξετάζουμε κάθε περίπτωση ξεχωριστά. Θεωρούμε ότι έχουμε ηθική υποχρέωση να σας καταγγείλουμε αν υποπτευόμαστε ότι η αδυναμία ή τα δεδομένα γίνονται αντικείμενο κατάχρησης, ή ότι έχετε μοιραστεί τη γνώση της αδυναμίας με άλλους. Μπορείτε να είστε βέβαιοι ότι μια τυχαία ανακάλυψη στο διαδικτυακό μας περιβάλλον δεν θα οδηγήσει σε δίωξη.

• Ως ευχαριστία για τη βοήθειά σας, προσφέρουμε ανταμοιβή για κάθε αναφορά ενός προβλήματος ασφαλείας που δεν είναι γνωστό σε εμάς. Καθορίζουμε την αξία της ανταμοιβής με βάση τη σοβαρότητα της παραβίασης και την ποιότητα της αναφοράς.

Προσπαθούμε να επιλύσουμε όλα τα προβλήματα όσο το δυνατόν συντομότερα, να κρατάμε ενήμερα όλα τα εμπλεκόμενα μέρη και θα θέλαμε να εμπλακούμε σε οποιαδήποτε δημοσίευση για το πρόβλημα αφού επιλυθεί.

Παράδειγμα: Bits of Freedom

Η εξάρτησή μας από την ψηφιακή υποδομή αυξάνεται συνεχώς. Αυτό ισχύει για την κοινωνία συνολικά, αλλά και για εμάς τους ίδιους. Είναι επομένως η άποψή μας ότι οι κυβερνήσεις και οι οργανισμοί (συμπεριλαμβανομένου του δικού μας) θα πρέπει να δεσμευτούν σθεναρά για την ασφάλεια της ψηφιακής υποδομής μας. Αντιλαμβανόμαστε ότι, παρά τις καλύτερες προθέσεις μας και τη μεγαλύτερη φροντίδα, ενδέχεται να υπάρχουν ευπάθειες στα συστήματά μας. Αν τύχει να βρείτε μία από αυτές τις αδυναμίες, θα χαρούμε να ακούσουμε από εσάς ώστε να επιλύσουμε το ζήτημα.

Τι περιμένουμε από εσάς

• Όταν ερευνάτε ένα από τα συστήματά μας, να έχετε υπόψη την αναλογικότητα της επίθεσης. Δεν χρειάζεται να αποδείξετε ότι όταν υποβάλλετε τον ιστότοπό μας στη μεγαλύτερη επίθεση DDoS στην ιστορία του διαδικτύου, ο ιστότοπος μπορεί να καταστεί μη προσβάσιμος. Το γνωρίζουμε. Καταλαβαίνουμε επίσης ότι αν οδηγήσετε μια μπουλντόζα στο γραφείο μας, πιθανότατα θα μπορέσετε να αρπάξετε έναν από τους φορητούς υπολογιστές μας.

• Αυτή η αρχή της αναλογικότητας είναι επίσης σχετική κατά την επίδειξη της ίδιας της ευπάθειας. Δεν πρέπει να επιθεωρήσετε ή να τροποποιήσετε περισσότερα δεδομένα από όσα είναι απολύτως απαραίτητα για να επιβεβαιώσετε την εγκυρότητα του ευρήματός σας. Για παράδειγμα, αν μπορείτε να τροποποιήσετε την αρχική σελίδα μας, απλώς προσθέστε μία μόνο μη αμφιλεγόμενη λέξη αντί να αναλάβετε ολόκληρη τη σελίδα. Αν μπορείτε να αποκτήσετε πρόσβαση σε βάση δεδομένων, αρκεί να μας δείξετε μια λίστα με τους πίνακες που υπάρχουν εκεί μέσα ή ίσως την πρώτη εγγραφή σε έναν από αυτούς τους πίνακες.

• Μια ευπάθεια σε ένα από τα συστήματά μας θα πρέπει να αναφερθεί το συντομότερο δυνατό στέλνοντας email στο security@bof.nl. Κατά προτίμηση θα κρυπτογραφήσετε το μήνυμά σας χρησιμοποιώντας OpenPGP. Δώστε επαρκείς πληροφορίες ώστε να μπορέσουμε να αναπαράγουμε και να ερευνήσουμε το ζήτημα.

• Το δημόσιο κλειδί OpenPGP για το security@bof.nl

• Δεν θα μοιραστείτε τη γνώση σας για την ευπάθεια με άλλα μέρη όσο δεν έχουμε αντιμετωπίσει το ζήτημα και είμαστε ακόμη εντός ευλόγου χρονικού διαστήματος από τότε που αναφέρατε το ζήτημα.

• Θα διαγράψετε όλες τις εμπιστευτικές πληροφορίες που αποκτήσατε κατά τη διάρκεια της έρευνάς σας μόλις επιλύσουμε την ευπάθεια.

Τι μπορείτε να περιμένετε από εμάς

• Θα απαντήσουμε στην αναφορά σας εντός τριών ημερών με λεπτομερή τρόπο. Θα συμπεριλάβουμε μια εκτίμηση του χρόνου που θα χρειαστούμε για να αντιμετωπίσουμε το ζήτημα. Φυσικά, θα σας ενημερώνουμε τακτικά για την πρόοδό μας.

• Θα επιλύσουμε την ευπάθεια το συντομότερο δυνατό. Κι εδώ η αναλογικότητα είναι σημαντική: ο χρόνος που απαιτείται για τη διόρθωση μιας ευπάθειας εξαρτάται από διάφορους παράγοντες, μεταξύ των οποίων η σοβαρότητα και η πολυπλοκότητα του εν λόγω ζητήματος.

• Όταν ακολουθείτε τις οδηγίες που περιγράφονται εδώ, δεν θα προβούμε σε νομική ενέργεια εναντίον σας σχετικά με την αναφορά σας.

• Είναι σημαντικό για εμάς να σας αναγνωρίσουμε για αυτό που κάνατε - αν το επιθυμείτε. Θα αναφέρουμε το όνομά σας σε δημοσίευση σχετικά με την ευπάθεια μόνο αν συμφωνήσετε.

• Ως ευχαριστία που μας βοηθήσατε να προστατεύσουμε καλύτερα τα συστήματά μας, θα θέλαμε να ανταμείψουμε κάθε αναφορά ευπάθειας που ήταν άγνωστη σε εμάς εκείνη τη στιγμή. Η ανταμοιβή θα εξαρτηθεί από τη σοβαρότητα της ευπάθειας και την ποιότητα της αναφοράς.

Αν βρείτε ευπάθεια σε λογισμικό τρίτου που χρησιμοποιούμε και αυτή η ευπάθεια καλύπτεται από πρόγραμμα bug bounty, δεν θα προσπαθήσουμε να διεκδικήσουμε αυτή την ανταμοιβή· θα πρέπει να το κάνετε εσείς.