Divulgation coordonnée des vulnérabilités de Fox-IT

Chez Fox-IT, nous considérons la sécurité de nos systèmes, de notre réseau et de nos produits comme de la plus haute importance. Malgré le grand soin que nous apportons à la sécurité, des points faibles peuvent subsister. Si vous avez trouvé un tel point faible, nous aimerions en être informés dès que possible afin de prendre au plus vite les mesures appropriées.

Les points faibles peuvent être découverts de deux façons : vous pouvez tomber par hasard sur quelque chose lors de l'utilisation normale d'un environnement numérique, ou vous pouvez vous efforcer explicitement de les trouver.

Notre politique de divulgation responsable n'est pas une invitation à scanner activement notre réseau d'entreprise pour découvrir des points faibles. Nous surveillons nous-mêmes notre réseau d'entreprise. Cela signifie qu'il y a de fortes chances qu'un scan soit détecté et qu'une enquête soit menée par notre centre d'opérations de sécurité (SOC), ce qui pourrait entraîner des coûts inutiles. Vous êtes toutefois invité à rechercher activement des vulnérabilités dans nos produits dans un environnement hors ligne hors production et à nous communiquer vos constatations. Notre responsabilité envers nos clients signifie que nous ne cherchons pas à encourager les tentatives de piratage de leur infrastructure ; toutefois, nous aimerions avoir de vos nouvelles dès que possible si des vulnérabilités sont trouvées, afin de pouvoir les résoudre de manière adéquate.

Nous souhaitons travailler avec vous pour mieux protéger nos clients et nos systèmes.

Nous vous demandons de :

Envoyer vos constatations par courriel dès que possible à security-alert@fox-it.com.
Ne pas abuser de la vulnérabilité ; par exemple en téléchargeant, modifiant ou supprimant des données. Nous prendrons toujours votre signalement au sérieux et enquêterons sur tout soupçon de vulnérabilité, même sans preuve.
Ne pas partager le problème avec d'autres personnes tant qu'il n'a pas été résolu.
Ne pas recourir à des attaques contre la sécurité physique, à l'ingénierie sociale ni à des outils de piratage, tels que les scanners de vulnérabilités.
Fournir suffisamment d'informations pour que le problème puisse être reproduit afin que nous puissions le résoudre le plus rapidement possible. Généralement, l'adresse IP ou l'URL du système concerné et une description de la vulnérabilité suffisent, bien que davantage d'informations puissent être nécessaires pour des vulnérabilités plus complexes.

Ce que nous promettons :

Nous répondrons à votre signalement dans un délai de trois jours ouvrables, avec notre évaluation du signalement et une date de résolution prévue.
Nous traiterons votre signalement de façon confidentielle et ne partagerons pas vos informations personnelles avec des tiers sans votre autorisation. La police et la justice font exception en cas de poursuites ou si l'information est exigée.
Nous vous tiendrons informé de l'avancement de la solution au problème.
Dans la communication sur le problème signalé, nous indiquerons votre nom comme la partie qui a découvert le problème, si vous le souhaitez.
Il n'est malheureusement pas possible de garantir à l'avance qu'aucune action en justice ne sera engagée contre vous. Nous espérons pouvoir examiner chaque situation individuellement. Nous nous considérons moralement tenus de vous signaler si nous soupçonnons que la faiblesse ou les données sont utilisées abusivement, ou que vous avez partagé la connaissance de la faiblesse avec d'autres. Vous pouvez être assuré qu'une découverte accidentelle dans notre environnement en ligne n'entraînera pas de poursuites.
En remerciement de votre aide, nous offrons une récompense pour chaque signalement d'un problème de sécurité qui ne nous est pas connu. Nous déterminons la valeur de la récompense en fonction de la gravité de la faille et de la qualité du signalement.

Nous nous efforçons de résoudre tous les problèmes le plus rapidement possible, de tenir toutes les parties concernées informées, et nous aimerions être associés à toute publication sur le problème une fois résolu.

Exemple : Bits of Freedom

Notre dépendance à l'égard de l'infrastructure numérique ne cesse de croître. Cela vaut pour la société dans son ensemble, mais aussi pour nous-mêmes. Nous estimons donc que les gouvernements et les organisations (y compris la nôtre) devraient s'engager fermement à sécuriser notre infrastructure numérique. Nous sommes conscients que, malgré nos meilleures intentions et tout notre soin, des vulnérabilités peuvent exister dans nos systèmes. Si vous découvrez l'une de ces faiblesses, nous serions ravis de vous entendre afin de résoudre le problème.

Ce que nous attendons de vous

Lorsque vous examinez l'un de nos systèmes, gardez à l'esprit la proportionnalité de l'attaque. Il n'est pas nécessaire de démontrer que, si vous soumettez notre site web à la plus grande attaque DDoS de l'histoire d'internet, le site peut devenir inaccessible. Nous le savons. Nous comprenons aussi que si vous faites entrer un bulldozer dans nos bureaux, vous pourrez probablement vous emparer d'un de nos ordinateurs portables.
Ce principe de proportionnalité vaut aussi pour la démonstration de la vulnérabilité elle-même. Vous ne devez pas consulter ni modifier plus de données que strictement nécessaire pour confirmer la validité de votre découverte. Par exemple, si vous pouvez modifier notre page d'accueil, ajoutez simplement un seul mot non controversé plutôt que de prendre le contrôle de toute la page. Si vous pouvez accéder à une base de données, il suffit de nous montrer la liste des tables qu'elle contient, ou peut-être le premier enregistrement de l'une d'elles.
Une vulnérabilité dans l'un de nos systèmes doit être signalée dès que possible en envoyant un courriel à security@bof.nl. De préférence, chiffrez votre message avec OpenPGP. Veuillez fournir suffisamment d'informations pour que nous puissions reproduire et examiner le problème.
La clé publique OpenPGP de security@bof.nl
Vous ne partagerez pas votre connaissance de la vulnérabilité avec d'autres parties tant que nous n'aurons pas traité le problème et que nous serons encore dans un délai raisonnable depuis votre signalement.
Vous supprimerez toutes les informations confidentielles obtenues au cours de votre enquête dès que nous aurons résolu la vulnérabilité.

Ce que vous pouvez attendre de nous

Nous répondrons à votre signalement dans un délai de trois jours de manière détaillée. Nous inclurons une estimation du temps dont nous aurons besoin pour traiter le problème. Bien sûr, nous vous tiendrons régulièrement informé de nos progrès.
Nous résoudrons la vulnérabilité dès que possible. Ici aussi, la proportionnalité est importante : le temps nécessaire pour corriger une vulnérabilité dépend de plusieurs facteurs, dont la gravité et la complexité du problème en question.
Si vous suivez les lignes directrices exposées ici, nous n'engagerons pas d'action en justice contre vous au sujet de votre signalement.
Il est important pour nous de vous créditer pour ce que vous avez fait, si vous le souhaitez. Nous mentionnerons votre nom dans une publication relative à la vulnérabilité uniquement si vous y consentez.
Pour vous remercier de nous aider à mieux protéger nos systèmes, nous aimerions récompenser chaque signalement d'une vulnérabilité qui nous était inconnue à l'époque. La récompense dépendra de la gravité de la vulnérabilité et de la qualité du signalement.

Si vous trouvez une vulnérabilité dans un logiciel tiers que nous utilisons et que cette vulnérabilité est couverte par un programme de primes aux bogues, nous n'essaierons pas de réclamer cette prime ; c'est à vous de le faire.