Fox-IT: divulgazione coordinata delle vulnerabilità

In Fox-IT consideriamo la sicurezza dei nostri sistemi, della nostra rete e dei nostri prodotti della massima importanza. Nonostante la grande attenzione che dedichiamo alla sicurezza, possono comunque rimanere dei punti deboli. Se hai trovato una debolezza di questo tipo, vorremmo saperlo il prima possibile in modo da poter adottare le misure appropriate il più rapidamente possibile.

I punti deboli possono essere scoperti in due modi: puoi imbatterti per caso in qualcosa durante il normale utilizzo di un ambiente digitale, oppure puoi fare esplicitamente del tuo meglio per trovarli.

La nostra policy di divulgazione responsabile non è un invito a scansionare attivamente la nostra rete aziendale per scoprire punti deboli. Monitoriamo noi stessi la nostra rete aziendale. Ciò significa che c'è un'alta probabilità che una scansione venga rilevata, e che il nostro Security Operation Center (SOC) svolga un'indagine, con possibili costi inutili. Sei tuttavia invitato a cercare attivamente vulnerabilità nei nostri prodotti in un ambiente offline non di produzione e a segnalarci le tue scoperte. La nostra responsabilità verso i clienti significa che la nostra intenzione non è incoraggiare tentativi di hacking sulla loro infrastruttura; tuttavia, vorremmo avere tue notizie il prima possibile se vengono trovate vulnerabilità, in modo da poterle risolvere adeguatamente.

Vorremmo collaborare con te per essere in grado di proteggere meglio i nostri clienti e i nostri sistemi.

Ti chiediamo di:

Inviare le tue scoperte via email il prima possibile a security-alert@fox-it.com.
Non abusare della vulnerabilità; ad esempio, scaricando, modificando o eliminando dati. Prenderemo sempre sul serio la tua segnalazione e indagheremo su qualsiasi sospetto di vulnerabilità, anche senza prove.
Non condividere il problema con altri finché non sarà stato risolto.
Non ricorrere ad attacchi alla sicurezza fisica, all'ingegneria sociale o a strumenti di hacking, come gli scanner di vulnerabilità.
Fornire informazioni adeguate affinché il problema possa essere riprodotto, così da poterlo risolvere il più rapidamente possibile. Di solito l'indirizzo IP o l'URL del sistema interessato e una descrizione della vulnerabilità sono sufficienti, anche se per vulnerabilità più complesse potrebbero essere necessarie ulteriori informazioni.

Cosa promettiamo:

Risponderemo alla tua segnalazione entro tre giorni lavorativi, con la nostra valutazione della segnalazione e una data prevista di risoluzione.
Tratteremo la tua segnalazione in modo riservato e non condivideremo le tue informazioni personali con terze parti senza il tuo permesso. Un'eccezione a ciò sono la polizia e la magistratura in caso di azione penale o se le informazioni vengono richieste.
Ti terremo informato sui progressi della soluzione del problema.
Nella comunicazione sul problema segnalato, indicheremo il tuo nome come parte che ha scoperto il problema, se lo desideri.
Purtroppo non è possibile garantire in anticipo che non verrà intrapresa alcuna azione legale nei tuoi confronti. Speriamo di poter considerare ogni situazione individualmente. Ci riteniamo moralmente obbligati a denunciarti se sospettiamo che la debolezza o i dati vengano utilizzati in modo abusivo, o che tu abbia condiviso la conoscenza della debolezza con altri. Puoi stare tranquillo che una scoperta accidentale nel nostro ambiente online non porterà a un'azione penale.
Come ringraziamento per il tuo aiuto, offriamo una ricompensa per ogni segnalazione di un problema di sicurezza a noi sconosciuto. Determiniamo il valore della ricompensa sulla base della gravità della violazione e della qualità della segnalazione.

Ci impegniamo a risolvere tutti i problemi il più rapidamente possibile, a tenere informate tutte le parti coinvolte e vorremmo essere coinvolti in qualsiasi pubblicazione sul problema una volta risolto.

Esempio: Bits of Freedom

La nostra dipendenza dall'infrastruttura digitale è in continuo aumento. Questo vale per la società nel suo complesso, ma anche per noi stessi. È quindi nostra opinione che i governi e le organizzazioni (inclusa la nostra) debbano impegnarsi con decisione per mettere in sicurezza la nostra infrastruttura digitale. Siamo consapevoli che, nonostante le nostre migliori intenzioni e la massima cura, possono esistere vulnerabilità nei nostri sistemi. Se ti capita di trovare una di queste debolezze, ci farebbe piacere sentirti, così da poter risolvere il problema.

Cosa ci aspettiamo da te

Quando indaghi su uno dei nostri sistemi, tieni presente la proporzionalità dell'attacco. Non c'è bisogno di dimostrare che se sottoponi il nostro sito web al più grande attacco DDoS della storia di internet, il sito può diventare irraggiungibile. Lo sappiamo. Capiamo anche che se guidi un bulldozer nel nostro ufficio, probabilmente riuscirai ad afferrare uno dei nostri laptop.
Questo principio di proporzionalità è rilevante anche quando si dimostra la vulnerabilità stessa. Non dovresti ispezionare o modificare più dati di quanto strettamente necessario per confermare la validità della tua scoperta. Ad esempio, se riesci a modificare la nostra homepage, aggiungi semplicemente una singola parola non controversa invece di impossessarti dell'intera pagina. Se riesci a ottenere accesso a un database, è sufficiente mostrarci un elenco delle tabelle presenti, o magari il primo record di una di queste tabelle.
Una vulnerabilità in uno dei nostri sistemi dovrebbe essere segnalata il prima possibile inviando un'email a security@bof.nl. Preferibilmente cifreresti il tuo messaggio usando OpenPGP. Fornisci informazioni sufficienti affinché possiamo riprodurre e indagare il problema.
La chiave pubblica OpenPGP per security@bof.nl
Non condividerai la tua conoscenza della vulnerabilità con altre parti finché non avremo affrontato il problema e saremo ancora entro un periodo di tempo ragionevole da quando hai segnalato il problema.
Eliminerai tutte le informazioni riservate che hai ottenuto durante le tue indagini non appena avremo risolto la vulnerabilità.

Cosa puoi aspettarti da noi

Risponderemo alla tua segnalazione entro tre giorni in modo dettagliato. Includeremo una stima del tempo di cui avremo bisogno per affrontare il problema. Naturalmente, ti terremo regolarmente aggiornato sui nostri progressi.
Risolveremo la vulnerabilità il prima possibile. Anche qui la proporzionalità è importante: il tempo necessario per correggere una vulnerabilità dipende da diversi fattori, tra cui la gravità e la complessità del problema in questione.
Se segui le linee guida qui esposte, non intraprenderemo azioni legali nei tuoi confronti in relazione alla tua segnalazione.
Per noi è importante riconoscerti il merito di ciò che hai fatto - se lo desideri. Menzioneremo il tuo nome in una pubblicazione sulla vulnerabilità solo se sei d'accordo.
Come ringraziamento per averci aiutato a proteggere meglio i nostri sistemi, vorremmo premiare ogni segnalazione di una vulnerabilità che ci era sconosciuta in quel momento. La ricompensa dipenderà dalla gravità della vulnerabilità e dalla qualità della segnalazione.

Se dovessi trovare una vulnerabilità in un software di terze parti che utilizziamo e tale vulnerabilità è coperta da un programma di bug bounty, non cercheremo di rivendicare questa ricompensa; dovresti farlo tu.