Fox-IT: Koordinirano otkrivanje ranjivosti

U tvrtki Fox-IT sigurnost naših sustava, naše mreže i naših proizvoda smatramo od najveće važnosti. Unatoč velikoj pažnji koju posvećujemo sigurnosti, slabe točke i dalje mogu postojati. Ako ste pronašli takvu slabost, željeli bismo čuti za nju što je prije moguće kako bismo što brže poduzeli odgovarajuće mjere.

Slabe točke mogu se otkriti na dva načina: možete slučajno naići na nešto tijekom uobičajene uporabe digitalnog okruženja ili možete izričito nastojati ih pronaći.

Naša politika odgovornog otkrivanja nije poziv na aktivno skeniranje naše poslovne mreže radi otkrivanja slabih točaka. Svoju poslovnu mrežu nadziremo sami. To znači da postoji velika šansa da će se skeniranje otkriti te da će naš Sigurnosno-operativni centar (SOC) provesti istragu, što bi moglo rezultirati nepotrebnim troškovima. Pozvani ste, međutim, aktivno tražiti ranjivosti u našim proizvodima u izvanmrežnom, neproizvodnom okruženju i prijaviti nam svoje nalaze. Naša odgovornost prema našim klijentima znači da nam namjera nije poticati pokušaje hakiranja njihove infrastrukture; no željeli bismo čuti od vas što je prije moguće ako se pronađu ranjivosti, kako bismo ih mogli primjereno riješiti.

Željeli bismo surađivati s vama kako bismo bolje mogli zaštititi naše klijente i naše sustave.

Molimo vas da:

• Svoje nalaze što je prije moguće pošaljete e-poštom na security-alert@fox-it.com.

• Ne zlorabite ranjivost; primjerice preuzimanjem, uređivanjem ili brisanjem podataka. Vaše ćemo izvješće uvijek shvatiti ozbiljno i istražiti svaku sumnju na ranjivost, čak i bez dokaza.

• Ne dijelite problem s drugima dok ne bude riješen.

• Ne koristite napade na fizičku sigurnost, društveni inženjering ni hakerske alate, kao što su skeneri ranjivosti.

• Navedete dovoljno informacija da se problem može reproducirati kako bismo ga mogli riješiti što je brže moguće. Obično su dovoljni IP adresa ili URL pogođenog sustava i opis ranjivosti, iako za složenije ranjivosti mogu biti potrebne dodatne informacije.

Što obećavamo:

• Odgovorit ćemo na vaše izvješće u roku od tri radna dana s našom procjenom izvješća i očekivanim datumom rješenja.

• Vaše ćemo izvješće obraditi povjerljivo i nećemo dijeliti vaše osobne podatke s trećim stranama bez vašeg dopuštenja. Iznimka su policija i pravosuđe u slučaju kaznenog progona ili ako se informacije zatraže.

• Obavještavat ćemo vas o napretku rješavanja problema.

• U komunikaciji o prijavljenom problemu navest ćemo vaše ime kao stranu koja je otkrila problem, ako to želite.

• Nažalost, nije moguće unaprijed jamčiti da protiv vas neće biti poduzete pravne radnje. Nadamo se da ćemo moći razmotriti svaku situaciju zasebno. Smatramo se moralno obveznima prijaviti vas ako sumnjamo da se slabost ili podaci zlorabe ili da ste podijelili znanje o slabosti s drugima. Možete biti sigurni da slučajno otkriće u našem mrežnom okruženju neće dovesti do kaznenog progona.

• Kao zahvalu za vašu pomoć nudimo nagradu za svako izvješće o sigurnosnom problemu koji nam nije poznat. Vrijednost nagrade određujemo na temelju ozbiljnosti povrede i kvalitete izvješća.

Nastojimo sve probleme riješiti što je brže moguće, obavještavati sve uključene strane i željeli bismo sudjelovati u svakoj objavi o problemu nakon što bude riješen.

Primjer: Bits of Freedom

Naša ovisnost o digitalnoj infrastrukturi stalno raste. To vrijedi za društvo u cjelini, ali i za nas same. Stoga smatramo da se vlade i organizacije (uključujući našu) trebaju snažno posvetiti zaštiti naše digitalne infrastrukture. Svjesni smo da unatoč našim najboljim namjerama i najvećoj pažnji u našim sustavima mogu postojati ranjivosti. Ako pronađete neku od tih slabosti, rado bismo čuli od vas kako bismo mogli riješiti problem.

Što očekujemo od vas

• Kada istražujete jedan od naših sustava, imajte na umu proporcionalnost napada. Nema potrebe demonstrirati da kada našu web-stranicu izložite najvećem DDoS napadu u povijesti interneta, stranica može postati nedostupna. To znamo. Također razumijemo da ako buldožerom uđete u naš ured, vjerojatno ćete moći zgrabiti jedno od naših prijenosnih računala.

• Ovo načelo proporcionalnosti relevantno je i pri demonstraciji same ranjivosti. Ne biste trebali pregledavati ni mijenjati više podataka nego što je strogo nužno za potvrdu valjanosti vašeg nalaza. Primjerice, ako možete izmijeniti našu početnu stranicu, samo joj dodajte jednu nekontroverznu riječ umjesto da preuzmete cijelu stranicu. Ako možete dobiti pristup bazi podataka, dovoljno je pokazati nam popis tablica u njoj ili možda prvi zapis u jednoj od tih tablica.

• Ranjivost u jednom od naših sustava treba prijaviti što je prije moguće slanjem e-pošte na security@bof.nl. Poželjno je da šifrirate poruku pomoću OpenPGP-a. Molimo navedite dovoljno informacija da možemo reproducirati i istražiti problem.

• Javni OpenPGP ključ za security@bof.nl

• Nećete dijeliti svoje znanje o ranjivosti s drugim stranama dok se nismo pozabavili problemom i dok smo još u razumnom roku od trenutka kada ste prijavili problem.

• Izbrisat ćete sve povjerljive informacije koje ste dobili tijekom istrage čim otklonimo ranjivost.

Što možete očekivati od nas

• Odgovorit ćemo na vaše izvješće u roku od tri dana na detaljan način. Uključit ćemo procjenu vremena koje će nam trebati da se pozabavimo problemom. Naravno, redovito ćemo vas obavještavati o našem napretku.

• Ranjivost ćemo otkloniti što je prije moguće. I ovdje je proporcionalnost važna: vrijeme potrebno za popravak ranjivosti ovisi o nekoliko čimbenika, među kojima su ozbiljnost i složenost predmetnog problema.

• Kada slijedite ovdje utvrđene smjernice, nećemo poduzeti pravne radnje protiv vas u vezi s vašim izvješćem.

• Važno nam je priznati vam ono što ste učinili - ako to želite. Vaše ćemo ime spomenuti u objavi o ranjivosti samo ako se s tim složite.

• Kao zahvalu za pomoć u boljoj zaštiti naših sustava, željeli bismo nagraditi svako izvješće o ranjivosti koja nam u to vrijeme nije bila poznata. Nagrada će ovisiti o ozbiljnosti ranjivosti i kvaliteti izvješća.

Ako pronađete ranjivost u softveru treće strane koji koristimo i ta je ranjivost obuhvaćena programom nagrađivanja za greške (bug bounty), nećemo pokušati zatražiti tu nagradu; vi biste trebali.