Fox-IT 협조적 취약점 공개

Fox-IT는 저희 시스템, 네트워크, 제품의 보안을 가장 중요하게 생각합니다. 보안에 대해 세심한 주의를 기울이지만 약점이 남아 있을 수 있습니다. 그러한 약점을 발견하셨다면, 가능한 한 빨리 적절한 조치를 취할 수 있도록 되도록 빨리 알려 주세요.

약점은 두 가지 방식으로 발견될 수 있습니다. 디지털 환경을 평소처럼 사용하다가 우연히 어떤 것을 마주치거나, 약점을 찾기 위해 명시적으로 최선을 다하는 경우입니다.

저희의 책임 있는 공개 정책은 약점을 찾기 위해 저희 업무 네트워크를 적극적으로 스캔하라는 초대가 아닙니다. 저희는 업무 네트워크를 직접 모니터링합니다. 따라서 스캔이 탐지될 가능성이 높고, 저희 보안 운영 센터(SOC)가 조사를 수행하게 되어 불필요한 비용이 발생할 수 있습니다. 그러나 오프라인의 비운영(non-production) 환경에서 저희 제품의 취약점을 적극적으로 찾고 그 결과를 저희에게 보고해 주시는 것은 환영합니다. 고객에 대한 저희의 책임은 고객의 인프라에 대한 해킹 시도를 장려하려는 것이 저희의 의도가 아님을 의미합니다. 다만 취약점이 발견되면 적절히 해결할 수 있도록 가능한 한 빨리 연락해 주시기를 바랍니다.

저희 고객과 시스템을 더 잘 보호할 수 있도록 귀하와 협력하고 싶습니다.

다음을 부탁드립니다:

• 발견한 내용을 가능한 한 빨리 security-alert@fox-it.com으로 이메일로 보내 주세요.

• 취약점을 악용하지 마세요. 예를 들어 데이터를 다운로드하거나 편집하거나 삭제하지 마세요. 저희는 항상 보고를 진지하게 받아들이며, 증거가 없더라도 취약점이 의심되는 모든 경우를 조사합니다.

• 문제가 해결될 때까지 다른 사람들과 문제를 공유하지 마세요.

• 물리적 보안에 대한 공격, 사회공학, 취약점 스캐너 같은 해킹 도구를 사용하지 마세요.

• 문제를 재현할 수 있는 충분한 정보를 제공해 주세요. 그래야 가능한 한 빨리 해결할 수 있습니다. 보통은 영향을 받는 시스템의 IP 주소나 URL과 취약점에 대한 설명이면 충분하지만, 더 복잡한 취약점은 더 많은 정보가 필요할 수 있습니다.

저희의 약속:

• 보고서에 대한 저희의 평가와 예상 해결일을 담아 영업일 3일 이내에 보고에 응답하겠습니다.

• 보고서는 기밀로 처리하며, 귀하의 허락 없이 개인 정보를 제3자와 공유하지 않겠습니다. 다만 기소가 이루어지는 경우나 정보가 요구되는 경우의 경찰과 사법 당국은 예외입니다.

• 문제 해결의 진행 상황을 계속 알려 드리겠습니다.

• 보고된 문제에 관한 소통에서, 원하신다면 문제를 발견한 당사자로서 귀하의 이름을 밝히겠습니다.

• 안타깝게도 귀하에 대해 법적 조치가 취해지지 않을 것이라고 미리 보장할 수는 없습니다. 각 상황을 개별적으로 검토할 수 있기를 바랍니다. 약점이나 데이터가 악용되고 있거나 귀하가 약점에 대한 지식을 다른 사람들과 공유했다고 의심되는 경우, 저희는 귀하를 신고할 도덕적 의무가 있다고 생각합니다. 저희 온라인 환경에서의 우연한 발견이 기소로 이어지지 않을 것임은 안심하셔도 됩니다.

• 도움에 대한 감사로, 저희가 알지 못하는 보안 문제를 보고해 주실 때마다 보상을 드립니다. 보상 금액은 침해의 심각도와 보고서의 품질에 따라 결정합니다.

저희는 모든 문제를 가능한 한 빨리 해결하고, 관련된 모든 당사자에게 계속 알리기 위해 노력하며, 문제가 해결된 후 그에 관한 게시에 함께 참여하고 싶습니다.

예시: Bits of Freedom

디지털 인프라에 대한 저희의 의존도는 계속 높아지고 있습니다. 이는 사회 전체에 해당하지만 저희 자신에게도 해당합니다. 따라서 정부와 조직(저희 조직 포함)이 디지털 인프라를 안전하게 지키는 데 강하게 헌신해야 한다는 것이 저희의 생각입니다. 최선의 의도와 최대한의 주의를 기울이더라도 저희 시스템에 취약점이 존재할 수 있음을 저희는 알고 있습니다. 이러한 약점 중 하나를 발견하셨다면 문제를 해결할 수 있도록 꼭 연락해 주세요.

저희가 귀하에게 기대하는 것

• 저희 시스템 중 하나를 조사할 때는 공격의 비례성을 염두에 두세요. 저희 웹사이트에 인터넷 역사상 가장 큰 DDoS 공격을 가하면 사이트에 접속할 수 없게 될 수 있다는 것을 입증할 필요는 없습니다. 저희도 알고 있습니다. 또한 불도저를 몰고 저희 사무실에 돌진하면 아마 노트북 한 대쯤은 낚아챌 수 있다는 것도 이해합니다.

• 이 비례성의 원칙은 취약점 자체를 입증할 때에도 적용됩니다. 발견한 내용이 타당한지 확인하는 데 엄격히 필요한 것보다 많은 데이터를 조사하거나 수정해서는 안 됩니다. 예를 들어 저희 홈페이지를 수정할 수 있다면 페이지 전체를 장악하는 대신 논란의 소지가 없는 단어 하나만 추가하세요. 데이터베이스에 접근할 수 있다면 그 안에 있는 테이블 목록, 또는 그중 한 테이블의 첫 번째 레코드를 보여 주는 것으로 충분합니다.

• 저희 시스템의 취약점은 security@bof.nl로 이메일을 보내 가능한 한 빨리 보고해야 합니다. 가능하면 OpenPGP로 메시지를 암호화해 주세요. 저희가 문제를 재현하고 조사할 수 있도록 충분한 정보를 제공해 주세요.

• security@bof.nl의 OpenPGP 공개 키

• 저희가 문제를 해결하지 않았고 귀하가 문제를 보고한 이후 아직 합리적인 기간 안에 있는 동안에는 취약점에 대한 지식을 다른 당사자와 공유하지 않아야 합니다.

• 저희가 취약점을 해결하는 대로 조사 중에 얻은 모든 기밀 정보를 삭제해야 합니다.

귀하가 저희에게 기대할 수 있는 것

• 보고 후 3일 이내에 상세하게 응답하겠습니다. 문제를 해결하는 데 필요한 예상 시간도 포함하겠습니다. 물론 진행 상황을 정기적으로 알려 드리겠습니다.

• 취약점을 가능한 한 빨리 해결하겠습니다. 여기서도 비례성이 중요합니다. 취약점을 고치는 데 필요한 시간은 문제의 심각도와 복잡도를 비롯한 여러 요인에 따라 달라집니다.

• 여기에 제시된 지침을 따르신다면 보고와 관련하여 귀하에 대해 법적 조치를 취하지 않겠습니다.

• 원하신다면 귀하가 한 일에 대해 공로를 인정하는 것이 저희에게 중요합니다. 귀하가 동의하는 경우에만 취약점에 관한 게시물에 귀하의 이름을 언급하겠습니다.

• 저희 시스템을 더 잘 보호하도록 도와 주신 것에 대한 감사로, 당시 저희가 알지 못했던 취약점의 모든 보고에 보상을 드리고자 합니다. 보상은 취약점의 심각도와 보고서의 품질에 따라 달라집니다.

• 저희가 사용하는 제3자 소프트웨어에서 취약점을 발견했고 그 취약점이 버그 바운티 프로그램의 대상이라면, 저희는 그 바운티를 청구하려 하지 않을 것입니다. 귀하가 청구하셔야 합니다.