Fox-IT koordineeritud haavatavuste avalikustamine

Fox-ITs peame oma süsteemide, võrgu ja toodete turvalisust ülimalt oluliseks. Hoolimata suurest hoolest, mida turvalisusele pöörame, võivad nõrkused siiski alles jääda. Kui oled sellise nõrkuse leidnud, tahaksime sellest võimalikult kiiresti teada, et saaksime võtta asjakohased meetmed võimalikult kiiresti.

Nõrkusi saab avastada kahel viisil: võid digikeskkonna tavapärasel kasutamisel millelegi juhuslikult otsa sattuda või võid neid selgesõnaliselt otsida.

Meie vastutustundliku avalikustamise poliitika ei ole kutse meie ärivõrku aktiivselt skannida nõrkuste avastamiseks. Jälgime oma ärivõrku ise. See tähendab, et on suur tõenäosus, et skannimine tuvastatakse ja meie turvaoperatsioonide keskus (Security Operation Center, SOC) hakkab seda uurima, mis võib tuua kaasa tarbetuid kulusid. Sind kutsutakse siiski üles aktiivselt otsima haavatavusi meie toodetes võrguühenduseta mitte-tootmiskeskkonnas ja neist meile teatama. Meie vastutus klientide ees tähendab, et meie eesmärk ei ole julgustada häkkimiskatseid nende taristule; samas tahaksime sinust võimalikult kiiresti kuulda, kui haavatavusi leitakse, et saaksime need nõuetekohaselt lahendada.

Soovime sinuga koostööd teha, et oma klientide ja süsteemide kaitsmist paremini tagada.

Palume, et:

Saadaksid oma leiud võimalikult kiiresti e-kirjaga aadressile security-alert@fox-it.com.
Ei kuritarvitaks haavatavust; näiteks andmeid alla laadides, muutes või kustutades. Võtame sinu aruannet alati tõsiselt ja uurime kõiki haavatavuse kahtlusi, isegi ilma tõendita.
Ei jagaks probleemi teistega enne, kui see on lahendatud.
Ei kasutaks rünnakuid füüsilise turvalisuse vastu, sotsiaalset manipuleerimist ega häkkimisvahendeid, näiteks haavatavusskannereid.
Annaksid piisavalt teavet probleemi taasesitamiseks, et saaksime selle võimalikult kiiresti lahendada. Tavaliselt piisab mõjutatud süsteemi IP-aadressist või URL-ist ja haavatavuse kirjeldusest, kuigi keerukamate haavatavuste puhul võib olla vaja rohkem teavet.

Mida me lubame:

Vastame sinu aruandele kolme tööpäeva jooksul oma hinnanguga aruandele ja eeldatava lahendamise kuupäevaga.
Käsitleme sinu aruannet konfidentsiaalselt ega jaga sinu isikuandmeid kolmandate osapooltega ilma sinu loata. Erandiks on politsei ja kohtuvõim süüdistuse esitamisel või teabe nõudmisel.
Hoiame sind probleemi lahenduse edenemisega kursis.
Teatatud probleemist rääkides nimetame sind probleemi avastanud osapoolena, kui soovid.
Kahjuks ei ole võimalik ette garanteerida, et sinu vastu ei astuta õiguslikke samme. Loodame saada iga olukorda eraldi kaaluda. Peame end moraalselt kohustatuks sinust teatama, kui kahtlustame, et nõrkust või andmeid kuritarvitatakse või et oled nõrkusest teadmisi teistega jaganud. Võid olla kindel, et juhuslik avastus meie veebikeskkonnas ei too kaasa süüdistust.
Tänutäheks sinu abi eest pakume tasu iga meile tundmatu turvaprobleemi aruande eest. Tasu suuruse määrame rikkumise tõsiduse ja aruande kvaliteedi alusel.

Püüame kõik probleemid lahendada võimalikult kiiresti, hoida kõiki seotud osapooli teavitatuna ja soovime olla kaasatud igasse probleemi avaldamisse pärast selle lahendamist.

Näide: Bits of Freedom

Meie sõltuvus digitaalsest taristust kasvab pidevalt. See kehtib ühiskonna kui terviku, aga ka meie endi kohta. Seetõttu on meie arvates valitsused ja organisatsioonid (sh meie omad) kohustatud oma digitaalse taristu turvamisele tugevalt pühenduma. Mõistame, et parimatest kavatsustest ja suurimast hoolest hoolimata võib meie süsteemides haavatavusi olla. Kui leiad mõne sellise nõrkuse, kuuleksime sinust hea meelega, et saaksime probleemi lahendada.

Mida me sinult ootame

Kui uurid mõnda meie süsteemi, pea silmas rünnaku proportsionaalsust. Pole vaja demonstreerida, et kui allutad meie veebisaidi interneti ajaloo suurimale DDoS-rünnakule, võib sait muutuda kättesaamatuks. Me teame seda. Mõistame ka, et kui sõidad buldooseriga meie kontorisse, saad ilmselt ühe meie sülearvutitest endale.
See proportsionaalsuse põhimõte on oluline ka haavatavuse enda demonstreerimisel. Sa ei tohiks uurida ega muuta rohkem andmeid, kui on rangelt vajalik oma leiu kehtivuse kinnitamiseks. Näiteks kui saad muuta meie kodulehte, lisa sinna vaid üks vaidlustamatu sõna selle asemel, et kogu leht üle võtta. Kui saad juurdepääsu andmebaasile, piisab sellest, kui näitad meile seal olevate tabelite nimekirja või ehk ühe tabeli esimest kirjet.
Meie süsteemi haavatavusest tuleks teatada võimalikult kiiresti e-kirjaga aadressile security@bof.nl. Eelistatavalt krüpteeri oma sõnum OpenPGP-ga. Palun anna piisavalt teavet, et saaksime probleemi taasesitada ja uurida.
Avalik OpenPGP võti aadressile security@bof.nl
Sa ei jaga oma teadmisi haavatavusest teiste osapooltega seni, kuni me pole probleemi lahendanud ja oleme endiselt mõistliku ajaraami piires alates sellest, kui sa probleemist teatasid.
Sa kustutad kogu uurimise käigus saadud konfidentsiaalse teabe niipea, kui oleme haavatavuse lahendanud.

Mida sa võid meilt oodata

Vastame sinu aruandele kolme päeva jooksul üksikasjalikult. Lisame hinnangu ajale, mida vajame probleemi lahendamiseks. Muidugi hoiame sind regulaarselt oma edusammudega kursis.
Lahendame haavatavuse võimalikult kiiresti. Ka siin on proportsionaalsus oluline: haavatavuse parandamiseks vajalik aeg sõltub mitmest tegurist, sealhulgas käsitletava probleemi tõsidusest ja keerukusest.
Kui järgid siin esitatud juhiseid, ei astu me sinu aruande suhtes sinu vastu õiguslikke samme.
Meile on oluline sind tehtu eest tunnustada – kui soovid. Mainime sinu nime haavatavust käsitlevas avalduses ainult siis, kui oled sellega nõus.
Tänutäheks meie süsteemide paremal kaitsmisel aitamise eest soovime tasustada iga haavatavuse aruande, mis oli meile sel hetkel teadmata. Tasu sõltub haavatavuse tõsidusest ja aruande kvaliteedist.

Kui leiad haavatavuse kolmanda osapoole tarkvaras, mida me kasutame, ja see haavatavus on hõlmatud veaennetuse programmiga (bug bounty), ei püüa me seda tasu endale nõuda; seda peaksid tegema sina.