Fox-IT: חשיפה מתואמת של פגיעויות

ב-Fox-IT אנו רואים באבטחת המערכות, הרשת והמוצרים שלנו דבר בעל חשיבות עליונה. למרות הזהירות הרבה שאנו נוקטים בנושא אבטחה, עדיין עשויות להישאר נקודות תורפה. אם מצאתם חולשה כזו, נרצה לשמוע על כך בהקדם האפשרי כדי שנוכל לנקוט באמצעים המתאימים במהירות האפשרית.

אפשר לגלות נקודות תורפה בשתי דרכים: אפשר להיתקל במקרה במשהו במהלך שימוש רגיל בסביבה דיגיטלית, או אפשר לעשות במפורש כמיטב יכולתכם כדי למצוא אותן.

מדיניות החשיפה האחראית שלנו אינה הזמנה לסרוק באופן פעיל את הרשת העסקית שלנו כדי לגלות נקודות תורפה. אנו מנטרים את הרשת העסקית שלנו בעצמנו. פירוש הדבר שיש סיכוי גבוה שסריקה תיתגלה, ושמרכז מבצעי האבטחה (Security Operation Center, ‏SOC) שלנו יבצע חקירה, דבר שעלול להוביל לעלויות מיותרות. עם זאת, אתם מוזמנים לחפש באופן פעיל פגיעויות במוצרים שלנו בסביבה לא מקוונת שאינה סביבת ייצור, ולדווח לנו על ממצאיכם. האחריות שלנו כלפי הלקוחות פירושה שכוונתנו אינה לעודד ניסיונות פריצה לתשתית שלהם; עם זאת, נרצה לשמוע מכם בהקדם האפשרי אם נמצאות פגיעויות, כדי שנוכל לפתור אותן כראוי.

נרצה לעבוד אתכם כדי שנוכל להגן טוב יותר על הלקוחות והמערכות שלנו.

אנו מבקשים מכם:

• לשלוח את ממצאיכם בדוא"ל בהקדם האפשרי אל security-alert@fox-it.com.

• לא לנצל לרעה את הפגיעות; למשל על ידי הורדה, עריכה או מחיקה של נתונים. נתייחס תמיד ברצינות לדיווח שלכם ונחקור כל חשד לפגיעות, גם ללא הוכחה.

• לא לשתף את הבעיה עם אחרים עד שתיפתר.

• לא להשתמש בהתקפות על אבטחה פיזית, בהנדסה חברתית או בכלי פריצה, כגון סורקי פגיעויות.

• לספק מידע נאות כדי שניתן יהיה לשחזר את הבעיה כך שנוכל לפתור אותה במהירות האפשרית. בדרך כלל כתובת ה-IP או ה-URL של המערכת המושפעת ותיאור הפגיעות מספיקים, אם כי ייתכן שיידרש מידע נוסף עבור פגיעויות מורכבות יותר.

מה אנו מבטיחים:

• נשיב לדיווח שלכם תוך שלושה ימי עסקים, עם הערכתנו את הדיווח ותאריך פתרון צפוי.

• נטפל בדיווח שלכם בסודיות, ולא נשתף את המידע האישי שלכם עם צדדים שלישיים ללא רשותכם. חריג לכך הם המשטרה והמערכת השיפוטית במקרה של העמדה לדין או אם נדרש מידע.

• נעדכן אתכם בהתקדמות הפתרון של הבעיה.

• בתקשורת על הבעיה שדווחה, נציין את שמכם כ הצד שגילה את הבעיה, אם תרצו.

• למרבה הצער אי אפשר להבטיח מראש שלא ינקטו צעדים משפטיים נגדכם. אנו מקווים שנוכל לשקול כל מצב לגופו. אנו רואים עצמנו מחויבים מוסרית לדווח עליכם אם אנו חושדים שהחולשה או הנתונים מנוצלים לרעה, או שחלקתם ידע על החולשה עם אחרים. תוכלו להיות סמוכים ובטוחים שגילוי מקרי בסביבה המקוונת שלנו לא יוביל להעמדה לדין.

• כאות תודה על עזרתכם, אנו מציעים תגמול על כל דיווח על בעיית אבטחה שאינה ידועה לנו. אנו קובעים את ערך התגמול על בסיס חומרת ההפרה ואיכות הדיווח.

אנו שואפים לפתור את כל הבעיות במהירות האפשרית, לשמור את כל הצדדים המעורבים מעודכנים, ונרצה להיות מעורבים בכל פרסום על הבעיה לאחר שתיפתר.

דוגמה: Bits of Freedom

התלות שלנו בתשתית דיגיטלית הולכת וגוברת. הדבר נכון לחברה כולה, אך גם לנו עצמנו. לכן דעתנו היא ש ממשלות וארגונים (כולל שלנו) צריכים להתחייב בתוקף להבטחת התשתית הדיגיטלית שלנו. אנו מבינים שלמרות כוונותינו הטובות ביותר והזהירות הרבה ביותר, ייתכן שקיימות פגיעויות במערכות שלנו. אם אכן מצאתם אחת מהחולשות הללו, נשמח לשמוע מכם כדי שנוכל לפתור את הבעיה.

מה אנו מצפים מכם

• כשאתם חוקרים את אחת המערכות שלנו, זכרו את המידתיות של ההתקפה. אין צורך להדגים שכאשר אתם מטילים על האתר שלנו את התקפת ה-DDoS הגדולה ביותר בהיסטוריית האינטרנט, האתר עלול להיות בלתי נגיש. אנחנו יודעים זאת. אנו מבינים גם שאם תנהגו בדחפור לתוך המשרד שלנו, כנראה שתצליחו לחטוף אחד מ המחשבים הניידים שלנו.

• עקרון המידתיות הזה רלוונטי גם בהדגמת הפגיעות עצמה. אין לבדוק או לשנות יותר נתונים מהנדרש בהחלט כדי לאשר את תקפות הממצא שלכם. לדוגמה, אם אתם יכולים לשנות את דף הבית שלנו, פשוט הוסיפו לו מילה אחת לא שנויה במחלוקת במקום להשתלט על הדף כולו. אם תוכלו לקבל גישה למסד נתונים, מספיק להראות לנו רשימה של הטבלאות שבו, או אולי את הרשומה הראשונה באחת הטבלאות הללו.

• יש לדווח על פגיעות באחת המערכות שלנו בהקדם האפשרי על ידי שליחת דוא"ל אל security@bof.nl. רצוי שתצפינו את ההודעה שלכם באמצעות OpenPGP. אנא ספקו מידע מספיק כדי שנוכל לשחזר ולחקור את הבעיה.

• מפתח ה-OpenPGP הציבורי עבור security@bof.nl

• לא תשתפו את הידע שלכם על הפגיעות עם צדדים אחרים כל עוד לא טיפלנו בבעיה ועדיין בתוך מסגרת זמן סבירה מאז שדיווחתם על הבעיה.

• תמחקו את כל המידע החסוי שהשגתם במהלך החקירה שלכם ברגע שנפתור את הפגיעות.

מה אתם יכולים לצפות מאיתנו

• נשיב לדיווח שלכם בתוך שלושה ימים באופן מפורט. נכלול הערכה של הזמן שיידרש לנו כדי לטפל בבעיה. כמובן, נעדכן אתכם באופן סדיר בהתקדמותנו.

• נפתור את הפגיעות בהקדם האפשרי. גם כאן מידתיות חשובה: משך הזמן הנדרש לתיקון פגיעות תלוי בכמה גורמים, ובהם חומרת הבעיה ומורכבותה.

• כאשר אתם פועלים לפי ההנחיות המפורטות כאן, לא ננקוט פעולה משפטית נגדכם בנוגע לדיווח שלכם.

• חשוב לנו לתת לכם קרדיט על מה שעשיתם - אם תרצו. נזכיר את שמכם בפרסום בנוגע לפגיעות רק אם תסכימו לכך.

• כתודה על העזרה בהגנה טובה יותר על המערכות שלנו, נרצה לתגמל כל דיווח על פגיעות שהייתה לא ידועה לנו באותה עת. התגמול יהיה תלוי בחומרת הפגיעות ובאיכות הדיווח.

אם תמצאו פגיעות בתוכנת צד שלישי שבה אנו משתמשים והפגיעות הזו מכוסה בתוכנית bug bounty, לא ננסה לתבוע את התגמול הזה; אתם צריכים לעשות זאת.