Fox-IT koordinált sebezhetőség-közzététel

A Fox-ITnél rendszereink, hálózatunk és termékeink biztonságát a legfontosabbnak tekintjük. A biztonságra fordított nagy gondosság ellenére még mindig maradhatnak gyenge pontok. Ha ilyen gyengeséget talált, szeretnénk minél hamarabb értesülni róla, hogy a lehető leggyorsabban megtehessük a megfelelő intézkedéseket.

A gyenge pontokat kétféleképpen lehet felfedezni: véletlenül is rábukkanhat valamire egy digitális környezet normál használata során, vagy kifejezetten mindent megtehet azért, hogy megtalálja őket.

Felelős közzétételi szabályzatunk nem felhívás üzleti hálózatunk aktív szkennelésére a gyenge pontok felfedezése érdekében. Üzleti hálózatunkat magunk figyeljük. Ez azt jelenti, hogy nagy az esélye, hogy a szkennelést észlelik, és a Security Operation Center (SOC) vizsgálatot végez, ami felesleges költségeket eredményezhet. Ugyanakkor szeretettel hívjuk, hogy aktívan keressen sebezhetőségeket termékeinkben egy offline, nem éles környezetben, és jelentse nekünk a megállapításait. Az ügyfeleink iránti felelősségünk azt jelenti, hogy nem áll szándékunkban ösztönözni az infrastruktúrájuk elleni feltörési kísérleteket; ugyanakkor szeretnénk minél hamarabb hallani Önről, ha sebezhetőségeket találnak, hogy megfelelően megoldhassuk azokat.

Szeretnénk Önnel együttműködni, hogy jobban megvédhessük ügyfeleinket és rendszereinket.

Arra kérjük, hogy:

• Megállapításait minél hamarabb küldje el e-mailben a security-alert@fox-it.com címre.

• Ne éljen vissza a sebezhetőséggel; például adatok letöltésével, szerkesztésével vagy törlésével. Jelentését mindig komolyan vesszük, és minden sebezhetőségre utaló gyanút kivizsgálunk, bizonyíték nélkül is.

• Ne ossza meg a problémát másokkal, amíg meg nem oldották.

• Ne alkalmazzon fizikai biztonság elleni támadásokat, social engineeringet vagy hackereszközöket, például sebezhetőségi szkennereket.

• Adjon megfelelő információt a probléma reprodukálásához, hogy a lehető leggyorsabban megoldhassuk. Általában az érintett rendszer IP-címe vagy URL-je és a sebezhetőség leírása elegendő, bár összetettebb sebezhetőségekhez több információra lehet szükség.

Amit ígérünk:

• Három munkanapon belül válaszolunk a jelentésére a jelentés értékelésével és a várható megoldási dátummal.

• Jelentését bizalmasan kezeljük, és személyes adatait az Ön engedélye nélkül nem osztjuk meg harmadik felekkel. Ez alól kivétel a rendőrség és az igazságszolgáltatás vádemelés esetén vagy ha információt kérnek.

• Tájékoztatjuk Önt a probléma megoldásának előrehaladásáról.

• A jelentett problémáról szóló kommunikációban, ha kívánja, megnevezzük Önt mint a problémát felfedező felet.

• Sajnos nem lehet előre garantálni, hogy nem teszünk jogi lépéseket Ön ellen. Reméljük, hogy minden helyzetet egyedileg mérlegelhetünk. Erkölcsileg kötelesnek tartjuk magunkat arra, hogy feljelentsük Önt, ha gyanítjuk, hogy a gyengeséggel vagy az adatokkal visszaélnek, vagy hogy megosztotta a gyengeségről szerzett tudását másokkal. Biztos lehet benne, hogy egy véletlen felfedezés online környezetünkben nem vezet vádemeléshez.

• Segítségéért hálánk jeléül jutalmat ajánlunk minden olyan biztonsági probléma jelentéséért, amely nem ismert számunkra. A jutalom értékét a jogsértés súlyossága és a jelentés minősége alapján határozzuk meg.

Igyekszünk minden problémát a lehető leggyorsabban megoldani, minden érintett felet tájékoztatni, és szeretnénk részt venni minden, a problémáról szóló publikációban, miután megoldották.

Példa: Bits of Freedom

A digitális infrastruktúrától való függőségünk folyamatosan nő. Ez igaz a társadalom egészére, de saját magunkra is. Ezért véleményünk szerint a kormányoknak és szervezeteknek (beleértve a mienket is) határozottan el kell köteleződniük digitális infrastruktúránk biztosítása mellett. Tisztában vagyunk azzal, hogy a legjobb szándékaink és legnagyobb gondosságunk ellenére is lehetnek sebezhetőségek a rendszereinkben. Ha Ön ezek közül a gyengeségek közül egyet megtalál, szívesen hallanánk Önről, hogy megoldhassuk a problémát.

Amit elvárunk Öntől

• Amikor az egyik rendszerünket vizsgálja, tartsa szem előtt a támadás arányosságát. Nem kell bizonyítania, hogy ha weboldalunkat az internet történetének legnagyobb DDoS-támadásának veti alá, az oldal elérhetetlenné válhat. Ezt tudjuk. Azt is megértjük, hogy ha buldózerrel behajt az irodánkba, valószínűleg el tudja ragadni az egyik laptopunkat.

• Ez az arányossági elv a sebezhetőség bemutatásakor is releváns. Nem szabad több adatot megvizsgálnia vagy módosítania, mint amennyi szigorúan szükséges a megállapítása érvényességének megerősítéséhez. Például, ha módosítani tudja a kezdőlapunkat, csak adjon hozzá egyetlen vitathatatlan szót ahelyett, hogy átvenné az egész oldalt. Ha hozzáférést szerezhet egy adatbázishoz, elegendő megmutatnia nekünk a benne lévő táblák listáját, vagy talán az egyik tábla első rekordját.

• A rendszereink egyikében lévő sebezhetőséget a lehető leghamarabb jelenteni kell a security@bof.nl címre küldött e-mailben. Lehetőleg titkosítsa az üzenetét OpenPGP használatával. Kérjük, adjon elegendő információt, hogy reprodukálhassuk és kivizsgálhassuk a problémát.

• A security@bof.nl nyilvános OpenPGP-kulcsa

• Nem osztja meg a sebezhetőségről szerzett tudását más felekkel, amíg nem foglalkoztunk a problémával, és még mindig ésszerű időkereten belül vagyunk attól kezdve, hogy jelentette a problémát.

• A vizsgálata során megszerzett összes bizalmas információt törölni fogja, amint megoldottuk a sebezhetőséget.

Amit tőlünk várhat

• Három napon belül részletesen válaszolunk a jelentésére. Mellékelünk egy becslést arról, mennyi időre lesz szükségünk a probléma kezeléséhez. Természetesen rendszeresen tájékoztatjuk Önt az előrehaladásunkról.

• A sebezhetőséget a lehető leghamarabb megoldjuk. Itt is fontos az arányosság: a sebezhetőség javításához szükséges idő több tényezőtől függ, köztük a szóban forgó probléma súlyosságától és bonyolultságától.

• Ha betartja az itt lefektetett irányelveket, nem teszünk jogi lépéseket Ön ellen a jelentésével kapcsolatban.

• Fontos számunkra, hogy elismerjük Önt azért, amit tett – ha szeretné. A nevét a sebezhetőségről szóló kiadványban csak akkor említjük meg, ha Ön ehhez hozzájárul.

• Köszönetképpen azért, hogy segít jobban megvédeni rendszereinket, szeretnénk jutalmazni minden olyan sebezhetőségi jelentést, amely akkoriban nem volt ismert számunkra. A jutalom a sebezhetőség súlyosságától és a jelentés minőségétől függ.

Ha az általunk használt harmadik fél szoftverében talál sebezhetőséget, és erre a sebezhetőségre bug bounty program vonatkozik, mi nem próbáljuk igényelni ezt a jutalmat; Önnek kell ezt megtennie.