Bits of Freedom - Gecoördineerde kwetsbaarheidsmelding

Onze afhankelijkheid van digitale infrastructuur neemt voortdurend toe. Dit geldt voor de samenleving als geheel, maar ook voor onszelf. Het is daarom onze mening dat overheden en organisaties (inclusief de onze) zich sterk moeten inzetten voor het beveiligen van onze digitale infrastructuur. We beseffen dat er, ondanks onze beste bedoelingen en grootste zorg, kwetsbaarheden in onze systemen kunnen bestaan. Als je een van deze zwakke plekken tegenkomt, horen we het graag van je zodat we het probleem kunnen oplossen.

Wat we van je verwachten

Houd bij het onderzoeken van een van onze systemen rekening met de proportionaliteit van de aanval. Het is niet nodig aan te tonen dat onze website onbereikbaar kan worden als je er de grootste DDoS-aanval uit de geschiedenis van het internet op loslaat. Dat weten we. We begrijpen ook dat als je met een bulldozer ons kantoor binnenrijdt, je waarschijnlijk een van onze laptops kunt wegkapen.
Dit proportionaliteitsbeginsel is ook van belang bij het aantonen van de kwetsbaarheid zelf. Je moet niet meer gegevens inzien of wijzigen dan strikt noodzakelijk is om de juistheid van je bevinding te bevestigen. Als je bijvoorbeeld onze homepage kunt wijzigen, voeg er dan slechts één niet-controversieel woord aan toe in plaats van de hele pagina over te nemen. Als je toegang tot een database kunt krijgen, volstaat het om ons een lijst van de tabellen daarin te laten zien, of misschien het eerste record in een van die tabellen.
Een kwetsbaarheid in een van onze systemen moet zo snel mogelijk worden gemeld door een e-mail te sturen naar security@bof.nl. Bij voorkeur versleutel je je bericht met OpenPGP. Geef voldoende informatie zodat we het probleem kunnen reproduceren en onderzoeken.
De openbare OpenPGP-sleutel voor security@bof.nl
Je deelt je kennis van de kwetsbaarheid niet met andere partijen zolang we het probleem niet hebben aangepakt en we nog binnen een redelijk tijdsbestek zitten sinds je het probleem hebt gemeld.
Je verwijdert alle vertrouwelijke informatie die je tijdens je onderzoek hebt verkregen zodra we de kwetsbaarheid hebben opgelost.

Wat je van ons kunt verwachten

We reageren binnen drie dagen uitgebreid op je melding. We nemen een schatting op van de tijd die we nodig hebben om het probleem aan te pakken. Uiteraard houden we je regelmatig op de hoogte van onze voortgang.
We lossen de kwetsbaarheid zo snel mogelijk op. Ook hier is proportionaliteit belangrijk: de tijd die nodig is om een kwetsbaarheid te verhelpen hangt af van verschillende factoren, waaronder de ernst en de complexiteit van het betreffende probleem.
Wanneer je de hier uiteengezette richtlijnen volgt, nemen we geen juridische stappen tegen je met betrekking tot je melding.
Het is belangrijk voor ons om je te erkennen voor wat je hebt gedaan - als je dat wilt. We noemen je naam in een publicatie over de kwetsbaarheid alleen als je daarmee instemt.
Als dank voor je hulp bij het beter beschermen van onze systemen willen we elke melding van een kwetsbaarheid die ons op dat moment onbekend was belonen. De beloning hangt af van de ernst van de kwetsbaarheid en de kwaliteit van de melding.
Als je een kwetsbaarheid vindt in software van derden die wij gebruiken en die kwetsbaarheid valt onder een bugbountyprogramma, proberen wij die bounty niet op te eisen; dat moet jij doen.