Fox-IT: Ahultasunen jakinarazpen koordinatua

Fox-IT-n, gure sistemen, gure sarearen eta gure produktuen segurtasuna garrantzi handienekoa dela uste dugu. Segurtasunari ematen diogun kontu handia izan arren, ahulguneak geratu daitezke. Ahulgune hori aurkitu baduzu, ahalik eta azkarren jakin nahiko genuke, neurri egokiak ahalik eta azkarren har ditzagun.

Ahulguneak bi modutan aurki daitezke: ingurune digital baten ohiko erabileran zerbaitekin ustekabean topo egin dezakezu, edo berariaz ahalegina egin dezakezu horiek aurkitzeko.

Gure jakinarazpen arduratsuaren politika ez da gonbidapen bat gure negozio-sarea aktiboki eskaneatzeko ahulguneak aurkitzeko. Gure negozio-sarea geuk monitorizatzen dugu. Horrek esan nahi du aukera handia dagoela eskaneatzea detektatzeko eta gure Segurtasun Operazioen Zentroak (SOC) ikerketa bat egiteko, eta horrek kostu alferrikakoak ekar ditzake. Hala ere, gonbidatuta zaude gure produktuetako ahultasunak aktiboki bilatzera produkziokoa ez den lineaz kanpoko ingurune batean, eta zure aurkikuntzen berri ematera. Gure bezeroekiko dugun erantzukizunak esan nahi du gure asmoa ez dela haien azpiegituraren aurkako hackeatze-saiakerak sustatzea; hala ere, ahalik eta azkarren jakin nahiko genuke zure berri ahultasunak aurkitzen badira, behar bezala konpon ditzagun.

Zurekin lan egin nahiko genuke gure bezeroak eta gure sistemak hobeto babesteko.

Eskatzen dizugu:

Bidali zure aurkikuntzak ahalik eta azkarren security-alert@fox-it.com helbidera posta elektronikoz.
Ez erabili ahultasuna gaizki; adibidez, datuak deskargatuz, editatuz edo ezabatuz. Zure txostena beti serio hartuko dugu eta ahultasun baten edozein susmo ikertuko dugu, frogarik gabe ere.
Ez partekatu arazoa besteekin konpondu arte.
Ez erabili segurtasun fisikoaren aurkako erasorik, ingeniaritza sozialik edo hackeatze-tresnarik, hala nola ahultasun-eskanerrak.
Eman informazio egokia arazoa erreproduzitu ahal izateko, ahalik eta azkarren konpon dezagun. Normalean, eragindako sistemaren IP helbidea edo URLa eta ahultasunaren deskribapena nahikoa dira, nahiz eta ahultasun konplexuagoetarako informazio gehiago behar izan daitekeen.

Zer agintzen dugun:

Zure txostenari hiru lanegunen barruan erantzungo diogu, txostenaren ebaluazioarekin eta konponketa-data aurreikusiarekin.
Zure txostena konfidentzialtasunez tratatuko dugu, eta zure informazio pertsonala ez dugu hirugarrenekin partekatuko zure baimenik gabe. Salbuespena poliziak eta justiziak dira, auzipetzeko edo informazioa eskatzen bada.
Arazoaren konponbidearen aurrerapenaren berri emango dizugu.
Jakinarazitako arazoari buruzko komunikazioan, zure izena emango dugu arazoa aurkitu duen alderdi gisa, nahi baduzu.
Zoritxarrez, ezin da aldez aurretik bermatu ez dela zure aurkako lege-ekintzarik egingo. Egoera bakoitza banaka aztertu ahal izatea espero dugu. Moralki behartuta gaudela uste dugu zu salatzera, ahulgunea edo datuak gaizki erabiltzen ari direla susmatzen badugu, edo ahulgunearen ezagutza besteekin partekatu duzula susmatzen badugu. Lasai egon zaitezke: gure lineako inguruneko ustekabeko aurkikuntza batek ez du auzipetzerik ekarriko.
Zure laguntzagatiko esker on gisa, guk ezagutzen ez dugun segurtasun-arazo baten txosten bakoitzagatik sari bat eskaintzen dugu. Sariaren balioa urraketaren larritasunaren eta txostenaren kalitatearen arabera zehazten dugu.

Arazo guztiak ahalik eta azkarren konpontzen, inplikatutako alderdi guztiak informatuta mantentzen ahalegintzen gara, eta arazoari buruzko edozein argitalpenetan parte hartzea gustatuko litzaigukete, konpondu ondoren.

Adibidea: Bits of Freedom

Azpiegitura digitalarekiko dugun mendekotasuna etengabe handitzen ari da. Hori gizarte osoari aplikatzen zaio, baina baita geure buruari ere. Beraz, gure iritziz gobernuek eta erakundeek (gureak barne) gogor konprometitu beharko lukete gure azpiegitura digitala segurua izateko. Jakitun gara, gure asmo onenak eta kontu handiena izan arren, gure sistemetan ahultasunak egon daitezkeela. Ahulgune horietako bat aurkitzen baduzu, pozik jasoko genuke zure berria, arazoa konpon dezagun.

Zer espero dugun zuregandik

Gure sistemetako bat ikertzen ari zarenean, kontuan izan erasoaren proportzionaltasuna. Ez dago zertan frogatu behar gure webgunea interneten historiako DDoS eraso handienaren mende jartzen baduzu, gunea ezin izango dela atzitu. Hori badakigu. Ulertzen dugu ere bulldozer bat gure bulegoan sartzen baduzu, ziurrenik gure ordenagailu eramangarrietako bat harrapatu ahal izango duzula.
Proportzionaltasun-printzipio hau ahultasuna bera frogatzerakoan ere garrantzitsua da. Ez zenuke zure aurkikuntzaren baliozkotasuna berresteko zorrozki beharrezkoa baino datu gehiago aztertu edo aldatu behar. Adibidez, gure hasiera-orria aldatzeko gai bazara, gehitu hitz bakar bat, eztabaidagarria ez dena, orri osoa hartu beharrean. Datu-base batera sartzeko aukera lortzen baduzu, nahikoa da bertan dauden taulen zerrenda erakustea, edo agian taula horietako baten lehen erregistroa.
Gure sistemetako baten ahultasuna ahalik eta azkarren jakinarazi behar da, security@bof.nl helbidera mezu elektronikoa bidaliz. Hobe da zure mezua OpenPGP erabiliz zifratzea. Mesedez, eman informazio nahikoa arazoa erreproduzitu eta ikertu ahal izan dezagun.
security@bof.nl helbidearen OpenPGP gako publikoa
Ez duzu ahultasunari buruzko zure ezagutza beste alderdi batzuekin partekatuko, arazoari aurre egin ez diogun bitartean eta arazoaren berri eman zenuenetik denbora-tarte arrazoizkoaren barruan gauden bitartean.
Zure ikerketan lortutako informazio konfidentzial guztia ezabatuko duzu, ahultasuna konpondu bezain laster.

Zer espera dezakezun gugandik

Zure txostenari hiru eguneko epean erantzungo diogu, modu zehatzean. Arazoari aurre egiteko beharko dugun denboraren zenbatespen bat sartuko dugu. Jakina, gure aurrerapenaren berri emango dizugu aldiro.
Ahultasuna ahalik eta azkarren konponduko dugu. Hemen ere proportzionaltasuna garrantzitsua da: ahultasun bat konpontzeko behar den denbora hainbat faktoreren araberakoa da, besteak beste, arazoaren larritasuna eta konplexutasuna.
Hemen ezarritako jarraibideak betetzen badituzu, ez dugu lege-ekintzarik egingo zure aurka zure txostenari dagokionez.
Garrantzitsua da guretzat egindakoagatik aitortza ematea - nahi baduzu. Zure izena ahultasunari buruzko argitalpen batean aipatuko dugu soilik horrekin ados bazaude.
Gure sistemak hobeto babesten laguntzeagatiko eskerrak emateko, une horretan guretzat ezezaguna zen ahultasun baten txosten bakoitza saritu nahi dugu. Saria ahultasunaren larritasunaren eta txostenaren kalitatearen araberakoa izango da.

Erabiltzen dugun hirugarrenen softwarean ahultasun bat aurkitzen baduzu eta ahultasun hori bug bounty programa batek estaltzen badu, ez dugu saiatuko sari hori eskatzen; zuk eskatu beharko zenuke.