Fox-IT koordinoitu haavoittuvuuksien julkistaminen

Fox-IT:ssä pidämme järjestelmiemme, verkkomme ja tuotteidemme tietoturvaa erittäin tärkeänä. Vaikka noudatamme tietoturvassa suurta huolellisuutta, heikkoja kohtia voi silti jäädä. Jos olet löytänyt tällaisen heikkouden, haluaisimme kuulla siitä mahdollisimman pian, jotta voimme ryhtyä asianmukaisiin toimenpiteisiin mahdollisimman nopeasti.

Heikkoja kohtia voidaan löytää kahdella tavalla: voit törmätä johonkin vahingossa digitaalisen ympäristön tavallisen käytön aikana, tai voit nimenomaisesti yrittää parhaasi löytääksesi ne.

Vastuullisen julkistamisen käytäntömme ei ole kutsu skannata aktiivisesti yritysverkkoamme heikkojen kohtien löytämiseksi. Valvomme yritysverkkoamme itse. Tämä tarkoittaa, että skannaus havaitaan suurella todennäköisyydellä ja että turvallisuusoperaatiokeskuksemme (Security Operation Center, SOC) tutkii sen, mikä voi aiheuttaa tarpeettomia kustannuksia. Sinua kuitenkin kutsutaan etsimään aktiivisesti haavoittuvuuksia tuotteistamme offline- ei-tuotantoympäristössä ja ilmoittamaan löydöksesi meille. Vastuumme asiakkaitamme kohtaan tarkoittaa, että aikomuksemme ei ole kannustaa hakkerointiyrityksiin heidän infrastruktuuriaan vastaan; haluaisimme kuitenkin kuulla sinusta mahdollisimman pian, jos haavoittuvuuksia löydetään, jotta voimme korjata ne asianmukaisesti.

Haluamme tehdä kanssasi yhteistyötä suojataksemme paremmin asiakkaitamme ja järjestelmiämme.

Pyydämme sinua:

• Lähettämään löydöksesi sähköpostilla mahdollisimman pian osoitteeseen security-alert@fox-it.com.

• Älä väärinkäytä haavoittuvuutta; esimerkiksi lataamalla, muokkaamalla tai poistamalla dataa. Otamme raporttisi aina vakavasti ja tutkimme kaikki haavoittuvuusepäilyt, vaikka todisteita ei olisikaan.

• Älä jaa ongelmaa muille, ennen kuin se on ratkaistu.

• Älä käytä fyysiseen turvallisuuteen kohdistuvia hyökkäyksiä, sosiaalista manipulointia tai hakkerointityökaluja, kuten haavoittuvuusskannereita.

• Anna riittävästi tietoa ongelman toistamiseksi, jotta voimme ratkaista sen mahdollisimman nopeasti. Yleensä kohteena olevan järjestelmän IP-osoite tai URL ja haavoittuvuuden kuvaus riittävät, vaikka monimutkaisemmissa haavoittuvuuksissa voidaan tarvita lisätietoja.

Mitä lupaamme:

• Vastaamme raporttiisi kolmen arkipäivän kuluessa arviollamme raportista ja odotetulla ratkaisupäivällä.

• Käsittelemme raporttisi luottamuksellisesti emmekä jaa henkilötietojasi kolmansille osapuolille ilman lupaasi. Poikkeuksena tähän ovat poliisi ja oikeuslaitos syytteeseenpanon yhteydessä tai jos tietoja vaaditaan.

• Pidämme sinut ajan tasalla ongelman ratkaisun edistymisestä.

• Ilmoitetusta ongelmasta viestittäessä mainitsemme nimesi ongelman löytäneenä osapuolena, jos haluat.

• Valitettavasti ei ole mahdollista taata etukäteen, ettei sinua vastaan ryhdytä oikeustoimiin. Toivomme voivamme harkita jokaista tilannetta yksilöllisesti. Katsomme olevamme moraalisesti velvollisia ilmoittamaan sinusta, jos epäilemme heikkoutta tai dataa käytettävän väärin tai että olet jakanut tiedon heikkoudesta muiden kanssa. Voit olla varma, että vahingossa tehty löytö verkkoympäristössämme ei johda syytteeseen.

• Kiitokseksi avustasi tarjoamme palkkion jokaisesta meille tuntemattomasta tietoturvaongelmasta tehdystä raportista. Määritämme palkkion arvon rikkomuksen vakavuuden ja raportin laadun perusteella.

Pyrimme ratkaisemaan kaikki ongelmat mahdollisimman nopeasti, pitämään kaikki asianosaiset osapuolet ajan tasalla, ja haluaisimme olla mukana kaikessa ongelmaa koskevassa julkaisussa sen ratkaisemisen jälkeen.

Esimerkki: Bits of Freedom

Riippuvuutemme digitaalisesta infrastruktuurista kasvaa jatkuvasti. Tämä pätee yhteiskuntaan kokonaisuutena, mutta myös meihin itseemme. Siksi olemme sitä mieltä, että hallitusten ja organisaatioiden (myös omamme) pitäisi sitoutua vahvasti digitaalisen infrastruktuurimme turvaamiseen. Ymmärrämme, että parhaista aikeistamme ja suurimmasta huolellisuudestamme huolimatta järjestelmissämme voi olla haavoittuvuuksia. Jos satut löytämään yhden näistä heikkouksista, kuulemme mielellämme sinusta, jotta voimme ratkaista ongelman.

Mitä odotamme sinulta

• Kun tutkit jotakin järjestelmäämme, pidä mielessä hyökkäyksen suhteellisuus. Ei ole tarpeen osoittaa, että kun kohdistat verkkosivustoomme internetin historian suurimman DDoS-hyökkäyksen, sivusto voi muuttua tavoittamattomaksi. Tiedämme sen. Ymmärrämme myös, että jos ajat puskutraktorilla toimistoomme, saat todennäköisesti napattua yhden kannettavistamme.

• Tämä suhteellisuusperiaate on olennainen myös haavoittuvuuden itsensä osoittamisessa. Älä tarkastele tai muokkaa enempää dataa kuin on ehdottoman välttämätöntä löydöksesi pätevyyden vahvistamiseksi. Jos esimerkiksi pystyt muokkaamaan etusivuamme, lisää siihen vain yksi kiistaton sana sen sijaan, että valtaisit koko sivun. Jos pääset käsiksi tietokantaan, riittää, että näytät meille luettelon siellä olevista taulukoista tai ehkä jonkin taulukon ensimmäisen tietueen.

• Järjestelmämme haavoittuvuudesta tulisi ilmoittaa mahdollisimman pian lähettämällä sähköpostia osoitteeseen security@bof.nl. Mieluiten salaisit viestisi OpenPGP:llä. Anna riittävästi tietoa, jotta voimme toistaa ja tutkia ongelman.

• Julkinen OpenPGP-avain osoitteelle security@bof.nl

• Et jaa tietoasi haavoittuvuudesta muille osapuolille niin kauan kuin emme ole käsitelleet ongelmaa ja olemme edelleen kohtuullisessa aikarajassa siitä, kun ilmoitit ongelmasta.

• Poistat kaiken luottamuksellisen tiedon, jonka olet saanut tutkimuksesi aikana, heti kun olemme ratkaisseet haavoittuvuuden.

Mitä voit odottaa meiltä

• Vastaamme raporttiisi kolmen päivän kuluessa yksityiskohtaisesti. Liitämme mukaan arvion ajasta, jonka tarvitsemme ongelman ratkaisemiseen. Tietenkin pidämme sinut säännöllisesti ajan tasalla edistymisestämme.

• Ratkaisemme haavoittuvuuden mahdollisimman pian. Tässäkin suhteellisuus on tärkeää: haavoittuvuuden korjaamiseen tarvittava aika riippuu useista tekijöistä, muun muassa käsillä olevan ongelman vakavuudesta ja monimutkaisuudesta.

• Kun noudatat tässä esitettyjä ohjeita, emme ryhdy oikeustoimiin sinua vastaan raporttiisi liittyen.

• Meille on tärkeää antaa sinulle tunnustusta tekemästäsi – jos haluat. Mainitsemme nimesi haavoittuvuutta koskevassa julkaisussa vain, jos suostut siihen.

• Kiitokseksi siitä, että autat meitä suojaamaan järjestelmiämme paremmin, haluamme palkita jokaisen haavoittuvuusraportin, joka oli meille tuolloin tuntematon. Palkkio riippuu haavoittuvuuden vakavuudesta ja raportin laadusta.

Jos löydät haavoittuvuuden käyttämästämme kolmannen osapuolen ohjelmistosta ja kyseinen haavoittuvuus kuuluu bug bounty -ohjelman piiriin, emme yritä vaatia tätä palkkiota; sinun pitäisi.