Fox-IT: Samræmd birting öryggisveikleika

Hjá Fox-IT lítum við á öryggi kerfa okkar, nets og vara sem afar mikilvægt. Þrátt fyrir þá miklu aðgát sem við sýnum í öryggismálum geta veikir punktar samt verið til staðar. Ef þú hefur fundið slíkan veikleika viljum við fá að heyra af því eins fljótt og auðið er svo við getum gripið til viðeigandi ráðstafana eins hratt og hægt er.

Veikir punktar geta uppgötvast á tvo vegu: þú getur álpast fyrir tilviljun á eitthvað við venjulega notkun stafræns umhverfis, eða þú getur sérstaklega gert þitt besta til að finna þá.

Stefna okkar um ábyrga birtingu er ekki boð um að skanna virkt viðskiptanet okkar til að finna veika punkta. Við vöktum viðskiptanet okkar sjálf. Þetta þýðir að miklar líkur eru á að skönnun uppgötvist og að rannsókn verði framkvæmd af öryggisrekstrarmiðstöð okkar (Security Operation Center, SOC), sem gæti leitt til óþarfa kostnaðar. Þér er hins vegar boðið að leita virkt að veikleikum í vörum okkar í ótengdu umhverfi utan framleiðslu og tilkynna okkur niðurstöður þínar. Ábyrgð okkar gagnvart viðskiptavinum okkar þýðir að ætlun okkar er ekki að hvetja til tölvuárása á innviði þeirra; hins vegar viljum við heyra frá þér eins fljótt og auðið er ef veikleikar finnast, svo við getum leyst þá á viðeigandi hátt.

Við viljum vinna með þér til að geta betur varið viðskiptavini okkar og kerfi.

Við biðjum þig að:

• Senda niðurstöður þínar í tölvupósti eins fljótt og auðið er á security-alert@fox-it.com.

• Misnota ekki veikleikann; til dæmis með því að sækja, breyta eða eyða gögnum. Við munum alltaf taka skýrslu þína alvarlega og rannsaka allan grun um veikleika, jafnvel án sönnunar.

• Deila ekki vandamálinu með öðrum fyrr en það hefur verið leyst.

• Nota ekki árásir á líkamlegt öryggi, félagsverkfræði eða tölvuþrjótaverkfæri, svo sem veikleikaskanna.

• Gefa nægar upplýsingar til að endurskapa vandamálið svo við getum leyst það eins fljótt og auðið er. Venjulega duga IP-tala eða vefslóð kerfisins sem varð fyrir áhrifum og lýsing á veikleikanum, þó gætu þurft frekari upplýsingar um flóknari veikleika.

Það sem við lofum:

• Við munum svara skýrslu þinni innan þriggja virkra daga, með mati okkar á skýrslunni og áætluðum lausnardegi.

• Við munum meðhöndla skýrslu þína í trúnaði og munum ekki deila persónuupplýsingum þínum með þriðju aðilum án leyfis þíns. Undantekning frá þessu eru lögregla og dómstólar ef til saksóknar kemur eða ef upplýsinga er krafist.

• Við munum halda þér upplýstum um framvindu lausnar vandamálsins.

• Í samskiptum um tilkynnta vandamálið munum við nefna nafn þitt sem þann aðila sem uppgötvaði vandamálið, ef þú óskar þess.

• Því miður er ekki hægt að tryggja fyrirfram að engar lagalegar aðgerðir verði gerðar gegn þér. Við vonumst til að geta skoðað hverja stöðu fyrir sig. Við teljum okkur siðferðilega skylt að tilkynna þig ef við grunum að veikleikinn eða gögn séu misnotuð, eða að þú hafir deilt þekkingu á veikleikanum með öðrum. Þú getur verið viss um að tilviljanakennd uppgötvun í netumhverfi okkar muni ekki leiða til saksóknar.

• Sem þakklæti fyrir aðstoð þína bjóðum við verðlaun fyrir hverja skýrslu um öryggis- vandamál sem okkur er ókunnugt um. Við ákvörðum verðmæti verðlaunanna út frá alvarleika brotsins og gæðum skýrslunnar.

Við leggjum okkur fram um að leysa öll vandamál eins fljótt og auðið er, halda öllum hlutaðeigandi aðilum upplýstum og við viljum taka þátt í allri umfjöllun um vandamálið eftir að það hefur verið leyst.

Dæmi: Bits of Freedom

Háð okkar stafrænum innviðum eykst stöðugt. Þetta á við um samfélagið í heild, en einnig um okkur sjálf. Það er því álit okkar að ríkisstjórnir og stofnanir (þar á meðal okkar eigin) ættu að skuldbinda sig eindregið til að tryggja öryggi stafrænna innviða okkar. Við gerum okkur grein fyrir því að þrátt fyrir bestu fyrirætlanir og mestu aðgát geta veikleikar verið til staðar í kerfum okkar. Ef þú finnur einn af þessum veikleikum þætti okkur vænt um að heyra frá þér svo við getum leyst vandamálið.

Það sem við væntum af þér

• Þegar þú rannsakar eitt af kerfum okkar skaltu hafa meðalhóf árásarinnar í huga. Það er engin þörf á að sýna fram á að þegar þú beitir vefsvæði okkar stærstu DDoS-árás í sögu internetsins, getur vefsvæðið orðið óaðgengilegt. Við vitum það. Við skiljum líka að ef þú ekur jarðýtu inn á skrifstofuna okkar muntu líklega geta hrifsað eina af fartölvum okkar.

• Þessi meðalhófsregla á einnig við þegar veikleikinn sjálfur er sýndur. Þú ættir ekki að skoða eða breyta meiri gögnum en nauðsynlegt er til að staðfesta réttmæti niðurstöðu þinnar. Til dæmis, ef þú getur breytt heimasíðu okkar, bættu þá bara við einu óumdeildu orði í stað þess að taka yfir alla síðuna. Ef þú kemst inn í gagnagrunn nægir að sýna okkur lista yfir töflurnar sem þar eru, eða kannski fyrstu færsluna í einni þeirra.

• Tilkynna ætti veikleika í einu af kerfum okkar eins fljótt og auðið er með því að senda tölvupóst á security@bof.nl. Helst myndirðu dulkóða skilaboðin þín með OpenPGP. Vinsamlegast gefðu nægar upplýsingar svo við getum endurskapað og rannsakað vandamálið.

• Opinberi OpenPGP-lykillinn fyrir security@bof.nl

• Þú munt ekki deila þekkingu þinni á veikleikanum með öðrum aðilum svo lengi sem við höfum ekki tekið á vandamálinu og við erum enn innan hæfilegs tímaramma frá því að þú tilkynntir vandamálið.

• Þú munt eyða öllum trúnaðarupplýsingum sem þú hefur fengið við rannsókn þína um leið og við höfum leyst veikleikann.

Það sem þú getur vænst af okkur

• Við munum svara skýrslu þinni innan þriggja daga á ítarlegan hátt. Við munum láta fylgja mat á þeim tíma sem við þurfum til að takast á við vandamálið. Að sjálfsögðu munum við reglulega halda þér upplýstum um framvindu okkar.

• Við munum leysa veikleikann eins fljótt og auðið er. Hér er meðalhóf einnig mikilvægt: tíminn sem þarf til að laga veikleika fer eftir nokkrum þáttum, þar á meðal alvarleika og flækjustigi vandamálsins sem um ræðir.

• Þegar þú fylgir leiðbeiningunum sem settar eru fram hér munum við ekki grípa til lagalegra aðgerða gegn þér vegna skýrslu þinnar.

• Okkur er mikilvægt að þakka þér fyrir það sem þú gerðir - ef þú vilt. Við munum nefna nafn þitt í umfjöllun um veikleikann aðeins ef þú samþykkir það.

• Sem þakkir fyrir að hjálpa okkur að vernda kerfi okkar betur viljum við umbuna fyrir hverja skýrslu um veikleika sem okkur var ókunnur á þeim tíma. Umbunin fer eftir alvarleika veikleikans og gæðum skýrslunnar.

Ef þú finnur veikleika í hugbúnaði þriðja aðila sem við notum og sá veikleiki fellur undir villuverðlaunaáætlun (bug bounty) munum við ekki reyna að gera tilkall til þeirra verðlauna; það ættir þú að gera.