Fox-IT: koordinuotas pažeidžiamumų atskleidimas

Fox-IT mūsų sistemų, tinklo ir produktų saugumą laikome itin svarbiu. Nepaisant didelio rūpestingumo saugumo srityje, silpnųjų vietų vis tiek gali likti. Jei radote tokią silpnąją vietą, norėtume apie tai sužinoti kuo greičiau, kad galėtume kuo greičiau imtis tinkamų priemonių.

Silpnąsias vietas galima aptikti dviem būdais: galite netyčia jas užtikti įprastai naudodamiesi skaitmenine aplinka arba aiškiai stengtis jas rasti.

Mūsų atsakingo atskleidimo politika nėra kvietimas aktyviai skenuoti mūsų verslo tinklą silpnosioms vietoms aptikti. Savo verslo tinklą stebime patys. Tai reiškia, kad didelė tikimybė, jog skenavimas bus aptiktas ir mūsų Saugumo operacijų centras (SOC) atliks tyrimą, o tai gali sukelti nereikalingų išlaidų. Tačiau kviečiame aktyviai ieškoti pažeidžiamumų mūsų produktuose atsijungusioje nekūrybinėje (ne gamybinėje) aplinkoje ir pranešti mums apie savo radinius. Mūsų atsakomybė klientams reiškia, kad nenorime skatinti įsilaužimo bandymų į jų infrastruktūrą; tačiau norėtume kuo greičiau išgirsti, jei randama pažeidžiamumų, kad galėtume juos tinkamai išspręsti.

Norėtume bendradarbiauti su jumis, kad galėtume geriau apsaugoti savo klientus ir sistemas.

Prašome:

• Kuo greičiau išsiųsti savo radinius el. paštu security-alert@fox-it.com.

• Nepiktnaudžiauti pažeidžiamumu, pavyzdžiui, atsisiunčiant, redaguojant ar ištrinant duomenis. Visada rimtai vertinsime jūsų pranešimą ir tirsime bet kokį įtarimą dėl pažeidžiamumo, net ir be įrodymų.

• Nesidalyti problema su kitais, kol ji neišspręsta.

• Nenaudoti išpuolių prieš fizinį saugumą, socialinės inžinerijos ar įsilaužimo priemonių, tokių kaip pažeidžiamumų skeneriai.

• Pateikti pakankamai informacijos problemai atkurti, kad galėtume ją išspręsti kuo greičiau. Paprastai pakanka paveiktos sistemos IP adreso arba URL ir pažeidžiamumo aprašymo, nors sudėtingesniems pažeidžiamumams gali prireikti daugiau informacijos.

Ką žadame:

• Į jūsų pranešimą atsakysime per tris darbo dienas, pateikdami pranešimo vertinimą ir numatomą sprendimo datą.

• Jūsų pranešimą tvarkysime konfidencialiai ir neperduosime jūsų asmeninės informacijos trečiosioms šalims be jūsų leidimo. Išimtis – policija ir teismai baudžiamojo persekiojimo atveju arba jei informacijos reikalaujama.

• Informuosime jus apie problemos sprendimo pažangą.

• Bendraudami apie pranešta problemą, nurodysime jūsų vardą kaip šalies, aptikusios problemą, jei to pageidausite.

• Deja, neįmanoma iš anksto garantuoti, kad prieš jus nebus imtasi jokių teisinių veiksmų. Tikimės, kad galėsime svarstyti kiekvieną situaciją individualiai. Laikome save morališkai įpareigotais apie jus pranešti, jei įtariame, kad silpnąja vieta ar duomenimis piktnaudžiaujama arba kad pasidalijote žiniomis apie silpnąją vietą su kitais. Galite būti tikri, kad atsitiktinis radinys mūsų internetinėje aplinkoje nesukels baudžiamojo persekiojimo.

• Kaip padėką už jūsų pagalbą siūlome atlygį už kiekvieną pranešimą apie mums nežinomą saugumo problemą. Atlygio vertę nustatome pagal pažeidimo sunkumą ir pranešimo kokybę.

Stengiamės išspręsti visas problemas kuo greičiau, informuoti visas susijusias šalis ir norėtume dalyvauti bet kuriame paskelbime apie problemą, kai ji bus išspręsta.

Pavyzdys: Bits of Freedom

Mūsų priklausomybė nuo skaitmeninės infrastruktūros nuolat auga. Tai taikoma visai visuomenei, bet ir mums patiems. Todėl, mūsų nuomone, vyriausybės ir organizacijos (įskaitant mus) turėtų tvirtai įsipareigoti saugoti mūsų skaitmeninę infrastruktūrą. Suprantame, kad, nepaisant geriausių ketinimų ir didžiausio rūpestingumo, mūsų sistemose gali būti pažeidžiamumų. Jei aptiktumėte vieną iš šių silpnųjų vietų, mielai išgirstume jūsų žinią, kad galėtume problemą išspręsti.

Ko tikimės iš jūsų

• Tyrinėdami vieną iš mūsų sistemų, atsižvelkite į išpuolio proporcingumą. Nereikia įrodinėti, kad mūsų svetainė gali tapti nepasiekiama, jei ją paveiktų didžiausia interneto istorijoje DDoS ataka. Tai žinome. Taip pat suprantame, kad jei įvažiuotumėte buldozeriu į mūsų biurą, tikriausiai galėtumėte pagrobti vieną iš mūsų nešiojamųjų kompiuterių.

• Šis proporcingumo principas svarbus ir demonstruojant patį pažeidžiamumą. Neturėtumėte tikrinti ar keisti daugiau duomenų, nei griežtai būtina savo radinio pagrįstumui patvirtinti. Pavyzdžiui, jei galite pakeisti mūsų pagrindinį puslapį, tiesiog pridėkite vieną nekontroversišką žodį, užuot perėmę visą puslapį. Jei galite gauti prieigą prie duomenų bazės, pakanka parodyti joje esančių lentelių sąrašą arba galbūt pirmą vienos iš tų lentelių įrašą.

• Apie pažeidžiamumą vienoje iš mūsų sistemų reikėtų pranešti kuo greičiau, išsiunčiant el. laišką adresu security@bof.nl. Pageidautina, kad savo žinutę užšifruotumėte naudodami OpenPGP. Pateikite pakankamai informacijos, kad galėtume problemą atkurti ir ištirti.

• Viešasis OpenPGP raktas, skirtas security@bof.nl

• Savo žinių apie pažeidžiamumą nesidalysite su kitomis šalimis, kol mes neišspręsime problemos ir vis dar nepraėjo pagrįstas laikotarpis nuo jūsų pranešimo apie problemą.

• Visą konfidencialią informaciją, gautą tyrimo metu, ištrinsite, kai tik pašalinsime pažeidžiamumą.

Ko galite tikėtis iš mūsų

• Į jūsų pranešimą išsamiai atsakysime per tris dienas. Pateiksime laiko, kurio prireiks problemai išspręsti, įvertį. Žinoma, reguliariai informuosime jus apie savo pažangą.

• Pažeidžiamumą pašalinsime kuo greičiau. Ir čia svarbus proporcingumas: laikas, reikalingas pažeidžiamumui ištaisyti, priklauso nuo kelių veiksnių, tarp jų – nagrinėjamos problemos sunkumo ir sudėtingumo.

• Jei laikysitės čia pateiktų gairių, nesiimsime jokių teisinių veiksmų prieš jus dėl jūsų pranešimo.

• Mums svarbu pripažinti jūsų nuopelnus – jei to norite. Jūsų vardą publikacijoje apie pažeidžiamumą paminėsime tik jums sutikus.

• Kaip padėką už pagalbą geriau apsaugant mūsų sistemas, norėtume apdovanoti kiekvieną pranešimą apie pažeidžiamumą, kuris tuo metu mums nebuvo žinomas. Atlygis priklausys nuo pažeidžiamumo sunkumo ir pranešimo kokybės.

Jei rastumėte pažeidžiamumą trečiosios šalies programinėje įrangoje, kurią naudojame, ir tam pažeidžiamumui taikoma klaidų atradimo apdovanojimų (bug bounty) programa, nesistengsime pretenduoti į šį apdovanojimą; turėtumėte tai padaryti jūs.