Fox-IT Divulgação coordenada de vulnerabilidades

Na Fox-IT, consideramos a segurança dos nossos sistemas, da nossa rede e dos nossos produtos de extrema importância. Apesar do grande cuidado que temos com a segurança, ainda podem permanecer pontos fracos. Se encontrou um ponto fraco desses, gostaríamos de ter notícias suas o mais depressa possível para podermos tomar as medidas adequadas o mais rapidamente possível.

Os pontos fracos podem ser descobertos de duas formas: pode deparar-se acidentalmente com algo durante a utilização normal de um ambiente digital, ou pode empenhar-se expressamente em encontrá-los.

A nossa política de divulgação responsável não é um convite a analisar ativamente a nossa rede empresarial para descobrir pontos fracos. Nós próprios monitorizamos a nossa rede empresarial. Isto significa que há uma grande probabilidade de uma análise ser detetada e de o nosso Centro de Operações de Segurança (SOC) efetuar uma investigação, o que poderá resultar em custos desnecessários. É, no entanto, convidado a procurar ativamente vulnerabilidades nos nossos produtos num ambiente offline de não produção e a comunicar-nos as suas descobertas. A nossa responsabilidade para com os nossos clientes significa que a nossa intenção não é incentivar tentativas de pirataria da sua infraestrutura; no entanto, gostaríamos de ter notícias suas o mais depressa possível se forem encontradas vulnerabilidades, para as podermos resolver adequadamente.

Gostaríamos de trabalhar consigo para podermos proteger melhor os nossos clientes e os nossos sistemas.

Pedimos-lhe que:

Envie as suas descobertas por correio eletrónico o mais depressa possível para security-alert@fox-it.com.
Não abuse da vulnerabilidade; por exemplo, descarregando, editando ou apagando dados. Levaremos sempre o seu relatório a sério e investigaremos qualquer suspeita de vulnerabilidade, mesmo sem provas.
Não partilhe o problema com outros até que tenha sido resolvido.
Não utilize ataques à segurança física, engenharia social ou ferramentas de pirataria, como analisadores de vulnerabilidades.
Forneça informação adequada para o problema poder ser reproduzido, para que o possamos resolver o mais depressa possível. Normalmente, o endereço IP ou o URL do sistema afetado e uma descrição da vulnerabilidade são suficientes, embora possa ser necessária mais informação para vulnerabilidades mais complexas.

O que prometemos:

Responderemos ao seu relatório no prazo de três dias úteis, com a nossa avaliação do relatório e uma data prevista de resolução.
Trataremos o seu relatório de forma confidencial e não partilharemos os seus dados pessoais com terceiros sem a sua permissão. Uma exceção a isto são a polícia e o poder judicial em caso de ação penal ou se a informação for exigida.
Mantê-lo-emos informado do progresso da solução do problema.
Na comunicação sobre o problema comunicado, indicaremos o seu nome como a parte que descobriu o problema, se assim o desejar.
Infelizmente não é possível garantir de antemão que não serão tomadas medidas legais contra si. Esperamos poder considerar cada situação individualmente. Consideramo-nos moralmente obrigados a denunciá-lo se suspeitarmos que o ponto fraco ou os dados estão a ser objeto de abuso, ou que partilhou o conhecimento do ponto fraco com outros. Pode ficar descansado de que uma descoberta acidental no nosso ambiente em linha não levará a uma ação penal.
Como agradecimento pela sua ajuda, oferecemos uma recompensa por cada relatório de um problema de segurança que não nos seja conhecido. Determinamos o valor da recompensa com base na gravidade da violação e na qualidade do relatório.

Esforçamo-nos por resolver todos os problemas o mais depressa possível, por manter todas as partes envolvidas informadas e gostaríamos de participar em qualquer publicação sobre o problema depois de resolvido.

Exemplo: Bits of Freedom

A nossa dependência da infraestrutura digital está sempre a aumentar. Isto aplica-se à sociedade como um todo, mas também a nós próprios. É por isso nossa opinião que os governos e as organizações (incluindo a nossa) devem comprometer-se fortemente com a segurança da nossa infraestrutura digital. Sabemos que, apesar das nossas melhores intenções e do nosso maior cuidado, podem existir vulnerabilidades nos nossos sistemas. Se encontrar por acaso uma destas fragilidades, gostaríamos muito de ter notícias suas para podermos resolver o problema.

O que esperamos de si

Quando estiver a investigar um dos nossos sistemas, tenha em conta a proporcionalidade do ataque. Não há necessidade de demonstrar que, ao submeter o nosso sítio ao maior ataque DDoS da história da Internet, o sítio pode ficar inacessível. Nós sabemos isso. Também compreendemos que, se conduzir um buldózer até ao nosso escritório, provavelmente conseguirá agarrar um dos nossos portáteis.
Este princípio de proporcionalidade também é relevante ao demonstrar a própria vulnerabilidade. Não deve inspecionar nem modificar mais dados do que o estritamente necessário para confirmar a validade da sua descoberta. Por exemplo, se conseguir modificar a nossa página inicial, acrescente apenas uma palavra não controversa em vez de tomar conta de toda a página. Se conseguir obter acesso a uma base de dados, basta mostrar-nos uma lista das tabelas que lá estão, ou talvez o primeiro registo de uma dessas tabelas.
Uma vulnerabilidade num dos nossos sistemas deve ser comunicada o mais depressa possível enviando um correio eletrónico para security@bof.nl. De preferência, cifre a sua mensagem com OpenPGP. Forneça informação suficiente para podermos reproduzir e investigar o problema.
A chave pública OpenPGP de security@bof.nl
Não partilhará o seu conhecimento da vulnerabilidade com outras partes enquanto não tivermos resolvido o problema e ainda estivermos dentro de um prazo razoável desde que comunicou o problema.
Eliminará todas as informações confidenciais que obteve durante a sua investigação logo que tivermos resolvido a vulnerabilidade.

O que pode esperar de nós

Responderemos ao seu relatório no prazo de três dias de forma detalhada. Incluiremos uma estimativa do tempo de que precisaremos para resolver o problema. Naturalmente, mantê-lo-emos regularmente informado do nosso progresso.
Resolveremos a vulnerabilidade o mais depressa possível. Também aqui a proporcionalidade é importante: o tempo necessário para corrigir uma vulnerabilidade depende de vários fatores, entre os quais a gravidade e a complexidade do problema em causa.
Quando seguir as diretrizes aqui estabelecidas, não tomaremos medidas legais contra si relativamente ao seu relatório.
É importante para nós dar-lhe crédito pelo que fez - se assim o desejar. Mencionaremos o seu nome numa publicação sobre a vulnerabilidade apenas se concordar.
Como agradecimento por nos ajudar a proteger melhor os nossos sistemas, gostaríamos de recompensar cada relatório de uma vulnerabilidade que nos era desconhecida na altura. A recompensa dependerá da gravidade da vulnerabilidade e da qualidade do relatório.
Se encontrar uma vulnerabilidade em software de terceiros que utilizamos e essa vulnerabilidade for abrangida por um programa de bug bounty, não tentaremos reclamar essa recompensa; deve fazê-lo você.