Fox-IT: skoordynowane ujawnianie podatności

W Fox-IT bezpieczeństwo naszych systemów, sieci i produktów uważamy za najwyższej wagi. Pomimo ogromnej staranności, jaką wkładamy w bezpieczeństwo, słabe punkty nadal mogą pozostać. Jeśli znalazłeś taką słabość, chcielibyśmy dowiedzieć się o niej jak najszybciej, abyśmy mogli podjąć odpowiednie środki jak najprędzej.

Słabe punkty można odkryć na dwa sposoby: możesz przypadkowo natrafić na coś podczas normalnego korzystania ze środowiska cyfrowego albo możesz wyraźnie dołożyć wszelkich starań, aby je znaleźć.

Nasza polityka odpowiedzialnego ujawniania nie jest zaproszeniem do aktywnego skanowania naszej sieci biznesowej w celu wykrywania słabych punktów. Monitorujemy naszą sieć biznesową sami. Oznacza to, że istnieje duże prawdopodobieństwo, że skanowanie zostanie wykryte i że dochodzenie przeprowadzi nasze Centrum Operacji Bezpieczeństwa (Security Operation Center, SOC), co może skutkować niepotrzebnymi kosztami. Jesteś jednak zaproszony do aktywnego poszukiwania podatności w naszych produktach w środowisku offline, nieprodukcyjnym, i zgłaszania nam swoich ustaleń. Nasza odpowiedzialność wobec klientów oznacza, że nie zamierzamy zachęcać do prób włamań do ich infrastruktury; chcielibyśmy jednak dowiedzieć się od ciebie jak najszybciej, jeśli zostaną znalezione podatności, abyśmy mogli je odpowiednio usunąć.

Chcielibyśmy współpracować z tobą, aby lepiej chronić naszych klientów i nasze systemy.

Prosimy, abyś:

Przesłał swoje ustalenia e-mailem jak najszybciej na adres security-alert@fox-it.com.
Nie nadużywał podatności; na przykład pobierając, edytując lub usuwając dane. Zawsze potraktujemy twoje zgłoszenie poważnie i zbadamy każde podejrzenie podatności, nawet bez dowodów.
Nie dzielił się problemem z innymi, dopóki nie zostanie rozwiązany.
Nie stosował ataków na bezpieczeństwo fizyczne, socjotechniki ani narzędzi hakerskich, takich jak skanery podatności.
Podał wystarczające informacje do odtworzenia problemu, abyśmy mogli go rozwiązać jak najszybciej. Zwykle wystarczy adres IP lub adres URL dotkniętego systemu oraz opis podatności, chociaż w przypadku bardziej złożonych podatności mogą być potrzebne dodatkowe informacje.

Co obiecujemy:

Odpowiemy na twoje zgłoszenie w ciągu trzech dni roboczych, przedstawiając naszą ocenę zgłoszenia i przewidywaną datę rozwiązania.
Będziemy traktować twoje zgłoszenie poufnie i nie udostępnimy twoich danych osobowych stronom trzecim bez twojej zgody. Wyjątkiem jest policja i organy wymiaru sprawiedliwości w przypadku ścigania lub żądania udzielenia informacji.
Będziemy informować cię o postępach w rozwiązywaniu problemu.
W komunikacji o zgłoszonym problemie, jeśli sobie tego życzysz, wskażemy twoje imię i nazwisko jako strony, która odkryła problem.
Niestety nie można z góry zagwarantować, że nie zostaną podjęte żadne kroki prawne wobec ciebie. Mamy nadzieję móc rozpatrywać każdą sytuację indywidualnie. Uważamy się za moralnie zobowiązanych do zgłoszenia cię, jeśli podejrzewamy, że słabość lub dane są nadużywane albo że udostępniłeś wiedzę o słabości innym. Możesz być pewien, że przypadkowe odkrycie w naszym środowisku online nie doprowadzi do ścigania.
W podziękowaniu za twoją pomoc oferujemy nagrodę za każde zgłoszenie problemu z bezpieczeństwem, który nie jest nam znany. Wartość nagrody ustalamy na podstawie powagi naruszenia i jakości zgłoszenia.

Dążymy do rozwiązania wszystkich problemów jak najszybciej, do informowania wszystkich zaangażowanych stron i chcielibyśmy być zaangażowani w każdą publikację na temat problemu po jego rozwiązaniu.

Przykład: Bits of Freedom

Nasze uzależnienie od infrastruktury cyfrowej stale rośnie. Dotyczy to społeczeństwa jako całości, ale także nas samych. Dlatego naszym zdaniem rządy i organizacje (w tym nasza) powinny zdecydowanie zaangażować się w zabezpieczanie naszej infrastruktury cyfrowej. Zdajemy sobie sprawę, że pomimo naszych najlepszych intencji i największej staranności w naszych systemach mogą występować podatności. Jeśli natrafisz na jedną z tych słabości, chętnie się o niej dowiemy, abyśmy mogli rozwiązać problem.

Czego od ciebie oczekujemy

Gdy badasz jeden z naszych systemów, pamiętaj o proporcjonalności ataku. Nie ma potrzeby wykazywać, że gdy poddasz naszą stronę internetową największemu atakowi DDoS w historii internetu, strona może stać się niedostępna. My to wiemy. Rozumiemy też, że jeśli wjedziesz buldożerem do naszego biura, prawdopodobnie uda ci się zdobyć jeden z naszych laptopów.
Ta zasada proporcjonalności jest istotna także przy demonstrowaniu samej podatności. Nie powinieneś przeglądać ani modyfikować więcej danych, niż jest to ściśle konieczne do potwierdzenia słuszności twojego odkrycia. Na przykład, jeśli możesz zmodyfikować naszą stronę główną, dodaj do niej tylko jedno niekontrowersyjne słowo zamiast przejmować całą stronę. Jeśli możesz uzyskać dostęp do bazy danych, wystarczy pokazać nam listę znajdujących się w niej tabel lub ewentualnie pierwszy rekord jednej z tych tabel.
Podatność w jednym z naszych systemów należy zgłosić jak najszybciej, wysyłając e-mail na adres security@bof.nl. Najlepiej zaszyfruj swoją wiadomość za pomocą OpenPGP. Podaj wystarczające informacje, abyśmy mogli odtworzyć i zbadać problem.
Publiczny klucz OpenPGP dla security@bof.nl
Nie podzielisz się swoją wiedzą o podatności z innymi stronami, dopóki nie zajmiemy się problemem i nadal jesteśmy w rozsądnym terminie od zgłoszenia przez ciebie problemu.
Usuniesz wszystkie poufne informacje uzyskane podczas swojego badania, jak tylko usuniemy podatność.

Czego możesz od nas oczekiwać

Odpowiemy na twoje zgłoszenie w ciągu trzech dni w sposób szczegółowy. Dołączymy szacunkowy czas, jakiego będziemy potrzebować na zajęcie się problemem. Oczywiście będziemy regularnie informować cię o naszych postępach.
Usuniemy podatność jak najszybciej. Tutaj również ważna jest proporcjonalność: czas potrzebny na naprawę podatności zależy od kilku czynników, w tym od wagi i złożoności danego problemu.
Gdy zastosujesz się do przedstawionych tu wytycznych, nie podejmiemy wobec ciebie kroków prawnych w związku ze zgłoszeniem.
Ważne jest dla nas, aby docenić cię za to, co zrobiłeś – jeśli chcesz. Wspomnimy twoje imię i nazwisko w publikacji dotyczącej podatności tylko jeśli się na to zgodzisz.
W podziękowaniu za pomoc w lepszej ochronie naszych systemów chcielibyśmy nagrodzić każde zgłoszenie podatności, która była nam wówczas nieznana. Nagroda będzie zależeć od wagi podatności i jakości zgłoszenia.

Jeśli znajdziesz podatność w oprogramowaniu strony trzeciej, z którego korzystamy, a podatność ta jest objęta programem bug bounty, nie będziemy próbować domagać się tej nagrody; powinieneś to zrobić ty.