Fox-IT: koordinēta ievainojamību atklāšana

Fox-IT mēs uzskatām savu sistēmu, tīkla un produktu drošību par ārkārtīgi svarīgu. Neraugoties uz lielo rūpību, ko veltām drošībai, vājās vietas joprojām var palikt. Ja esat atradis šādu vāju vietu, mēs vēlētos par to uzzināt pēc iespējas ātrāk, lai varētu pēc iespējas ātrāk veikt atbilstošus pasākumus.

Vājās vietas var atklāt divos veidos: jūs varat nejauši uzgriezties kaut kam digitālās vides parastas lietošanas laikā vai arī varat skaidri censties tās atrast.

Mūsu atbildīgas atklāšanas politika nav aicinājums aktīvi skenēt mūsu uzņēmuma tīklu, lai atklātu vājās vietas. Mēs paši uzraugām savu uzņēmuma tīklu. Tas nozīmē, ka ir liela iespējamība, ka skenēšana tiks atklāta un mūsu Drošības operāciju centrs (SOC) veiks izmeklēšanu, kas varētu radīt nevajadzīgas izmaksas. Tomēr jūs esat aicināts aktīvi meklēt ievainojamības mūsu produktos bezsaistes neproduktīvā vidē un ziņot mums par saviem atklājumiem. Mūsu atbildība pret klientiem nozīmē, ka mūsu nodoms nav mudināt uz uzlaušanas mēģinājumiem to infrastruktūrā; tomēr mēs vēlētos dzirdēt no jums pēc iespējas ātrāk, ja tiek atrastas ievainojamības, lai varētu tās pienācīgi novērst.

Mēs vēlētos strādāt kopā ar jums, lai labāk spētu aizsargāt savus klientus un savas sistēmas.

Mēs lūdzam jūs:

• Nosūtīt savus atklājumus pa e-pastu pēc iespējas ātrāk uz security-alert@fox-it.com.

• Neļaunprātīgi izmantot ievainojamību, piemēram, lejupielādējot, rediģējot vai dzēšot datus. Mēs vienmēr nopietni uztversim jūsu ziņojumu un izmeklēsim jebkādas aizdomas par ievainojamību, pat bez pierādījumiem.

• Nedalīties ar problēmu ar citiem, kamēr tā nav atrisināta.

• Neizmantot uzbrukumus fiziskajai drošībai, sociālo inženieriju vai uzlaušanas rīkus, piemēram, ievainojamību skenerus.

• Sniegt pietiekamu informāciju, lai problēmu varētu atveidot, lai mēs to varētu atrisināt pēc iespējas ātrāk. Parasti skartās sistēmas IP adreses vai URL un ievainojamības apraksta pietiek, lai gan sarežģītākām ievainojamībām var būt nepieciešams vairāk informācijas.

Ko mēs apsolām:

• Mēs atbildēsim uz jūsu ziņojumu trīs darbadienu laikā ar ziņojuma novērtējumu un paredzamo atrisināšanas datumu.

• Mēs apstrādāsim jūsu ziņojumu konfidenciāli un nedalīsimies ar jūsu personas informāciju ar trešajām pusēm bez jūsu atļaujas. Izņēmums ir policija un tiesu iestādes kriminālvajāšanas gadījumā vai ja informācija tiek pieprasīta.

• Mēs informēsim jūs par problēmas risinājuma gaitu.

• Saziņā par ziņoto problēmu mēs norādīsim jūsu vārdu kā pusi, kas problēmu atklāja, ja to vēlaties.

• Diemžēl nav iespējams iepriekš garantēt, ka pret jums netiks veiktas nekādas juridiskas darbības. Mēs ceram, ka varēsim izskatīt katru situāciju atsevišķi. Mēs uzskatām sevi par morāli pienākošiem ziņot par jums, ja aizdomājamies, ka vājā vieta vai dati tiek ļaunprātīgi izmantoti vai ka jūs esat dalījies ar zināšanām par vājo vietu ar citiem. Varat būt pārliecināts, ka nejauša atklāšana mūsu tiešsaistes vidē neradīs kriminālvajāšanu.

• Kā pateicību par jūsu palīdzību mēs piedāvājam atlīdzību par katru ziņojumu par drošības problēmu, kas mums nav zināma. Mēs nosakām atlīdzības apmēru, pamatojoties uz pārkāpuma nopietnību un ziņojuma kvalitāti.

Mēs cenšamies atrisināt visas problēmas pēc iespējas ātrāk, informēt visas iesaistītās puses un vēlētos būt iesaistīti jebkurā publikācijā par problēmu pēc tās atrisināšanas.

Piemērs: Bits of Freedom

Mūsu atkarība no digitālās infrastruktūras pastāvīgi pieaug. Tas attiecas uz sabiedrību kopumā, bet arī uz mums pašiem. Tāpēc mūsu viedoklis ir, ka valdībām un organizācijām (tostarp mūsējai) būtu stingri jāapņemas nodrošināt mūsu digitālo infrastruktūru. Mēs apzināmies, ka, neraugoties uz mūsu labākajiem nodomiem un lielāko rūpību, mūsu sistēmās var būt ievainojamības. Ja jūs tiešām atrodat kādu no šīm vājajām vietām, mēs labprāt vēlētos sazināties ar jums, lai varētu problēmu atrisināt.

Ko mēs sagaidām no jums

• Pētot kādu no mūsu sistēmām, paturiet prātā uzbrukuma samērīgumu. Nav vajadzības demonstrēt, ka, pakļaujot mūsu tīmekļvietni lielākajam DDoS uzbrukumam interneta vēsturē, vietne var kļūt nepieejama. Mēs to zinām. Mēs arī saprotam, ka, ja ar buldozeru iebrauksiet mūsu birojā, jūs, visticamāk, varēsiet nočiept vienu no mūsu klēpjdatoriem.

• Šis samērīguma princips ir svarīgs arī pašas ievainojamības demonstrēšanā. Jums nevajadzētu pārbaudīt vai mainīt vairāk datu, nekā stingri nepieciešams sava atklājuma derīguma apstiprināšanai. Piemēram, ja varat mainīt mūsu mājaslapu, vienkārši pievienojiet tai vienu nekontroversiālu vārdu, nevis pārņemiet visu lapu. Ja varat iegūt piekļuvi datubāzei, pietiek parādīt mums tajā esošo tabulu sarakstu vai varbūt pirmo ierakstu vienā no šīm tabulām.

• Par ievainojamību kādā no mūsu sistēmām jāziņo pēc iespējas ātrāk, nosūtot e-pastu uz security@bof.nl. Vēlams, lai jūs šifrētu savu ziņojumu, izmantojot OpenPGP. Lūdzu, sniedziet pietiekami daudz informācijas, lai mēs varētu atveidot un izmeklēt problēmu.

• Publiskā OpenPGP atslēga adresei security@bof.nl

• Jūs nedalīsieties ar savām zināšanām par ievainojamību ar citām pusēm, kamēr mēs neesam risinājuši problēmu un joprojām ir saprātīgs laika posms kopš jūsu ziņojuma par problēmu.

• Jūs izdzēsīsiet visu konfidenciālo informāciju, ko ieguvāt izmeklēšanas laikā, līdzko būsim atrisinājuši ievainojamību.

Ko jūs varat sagaidīt no mums

• Mēs atbildēsim uz jūsu ziņojumu trīs dienu laikā detalizēti. Mēs norādīsim laika novērtējumu, kāds mums būs nepieciešams problēmas risināšanai. Protams, mēs regulāri informēsim jūs par savu progresu.

• Mēs atrisināsim ievainojamību pēc iespējas ātrāk. Arī šeit samērīgums ir svarīgs: laiks, kas nepieciešams ievainojamības novēršanai, ir atkarīgs no vairākiem faktoriem, tostarp no attiecīgās problēmas nopietnības un sarežģītības.

• Ja ievērosiet šeit izklāstītās vadlīnijas, mēs nepieņemsim nekādus juridiskus pasākumus pret jums saistībā ar jūsu ziņojumu.

• Mums ir svarīgi atzīt jūsu nopelnus par paveikto, ja vēlaties. Mēs minēsim jūsu vārdu publikācijā par ievainojamību tikai tad, ja jūs tam piekrītat.

• Kā pateicību par palīdzību mūsu sistēmu labākā aizsardzībā mēs vēlētos atalgot katru ziņojumu par ievainojamību, kas mums tajā laikā nebija zināma. Atlīdzība būs atkarīga no ievainojamības nopietnības un ziņojuma kvalitātes.

Ja atrastu ievainojamību trešās puses programmatūrā, ko mēs izmantojam, un uz šo ievainojamību attiecas kļūdu atklāšanas atalgojuma (bug bounty) programma, mēs necentīsimies pieprasīt šo atalgojumu; jums tas būtu jāizdara.