Fox-IT: divulgarea coordonată a vulnerabilităților

La Fox-IT considerăm securitatea sistemelor, a rețelei și a produselor noastre de cea mai mare importanță. În ciuda marii griji pe care o acordăm securității, pot rămâne totuși puncte slabe. Dacă ați găsit o astfel de slăbiciune, am dori să aflăm cât mai curând posibil pentru a putea lua măsurile adecvate cât mai repede.

Punctele slabe pot fi descoperite în două moduri: puteți da din întâmplare peste ceva în timpul utilizării normale a unui mediu digital sau puteți încerca în mod explicit să le găsiți.

Politica noastră de divulgare responsabilă nu este o invitație de a scana activ rețeaua noastră de afaceri pentru a descoperi puncte slabe. Ne monitorizăm rețeaua de afaceri singuri. Aceasta înseamnă că există o probabilitate mare ca o scanare să fie detectată și ca o investigație să fie efectuată de Centrul nostru de Operațiuni de Securitate (Security Operation Center, SOC), ceea ce ar putea duce la costuri inutile. Sunteți însă invitat să căutați activ vulnerabilități în produsele noastre într-un mediu offline, de non-producție, și să ne raportați constatările. Responsabilitatea noastră față de clienți înseamnă că intenția noastră nu este să încurajăm încercările de hacking asupra infrastructurii lor; cu toate acestea, am dori să auzim de la dumneavoastră cât mai repede posibil dacă sunt găsite vulnerabilități, astfel încât să le putem rezolva în mod adecvat.

Am dori să lucrăm cu dumneavoastră pentru a putea proteja mai bine clienții și sistemele noastre.

Vă rugăm să:

• Trimiteți constatările dumneavoastră prin e-mail cât mai repede posibil la security-alert@fox-it.com.

• Nu abuzați de vulnerabilitate; de exemplu, prin descărcarea, editarea sau ștergerea datelor. Vom lua întotdeauna raportul dumneavoastră în serios și vom investiga orice suspiciune de vulnerabilitate, chiar și fără dovezi.

• Nu împărtășiți problema altora până când nu a fost rezolvată.

• Nu folosiți atacuri asupra securității fizice, inginerie socială sau instrumente de hacking, cum ar fi scanerele de vulnerabilități.

• Furnizați informații adecvate pentru a putea reproduce problema, astfel încât să o putem rezolva cât mai repede posibil. De obicei, adresa IP sau URL-ul sistemului afectat și o descriere a vulnerabilității sunt suficiente, deși pot fi necesare mai multe informații pentru vulnerabilitățile mai complexe.

Ce promitem:

• Vom răspunde raportului dumneavoastră în termen de trei zile lucrătoare, cu evaluarea noastră a raportului și o dată estimată de rezolvare.

• Vă vom trata raportul confidențial și nu vom împărtăși informațiile dumneavoastră personale cu terți fără permisiunea dumneavoastră. O excepție de la aceasta o reprezintă poliția și sistemul judiciar în caz de urmărire penală sau dacă informațiile sunt solicitate.

• Vă vom ține la curent cu progresul soluționării problemei.

• În comunicarea despre problema raportată, vom indica numele dumneavoastră ca parte care a descoperit problema, dacă doriți.

• Din păcate, nu este posibil să garantăm în prealabil că nu vor fi luate măsuri legale împotriva dumneavoastră. Sperăm să putem analiza fiecare situație individual. Ne considerăm obligați moral să vă raportăm dacă bănuim că slăbiciunea sau datele sunt folosite abuziv ori că ați împărtășit cunoștințele despre slăbiciune cu alții. Puteți fi sigur că o descoperire accidentală în mediul nostru online nu va duce la urmărire penală.

• Ca mulțumire pentru ajutorul dumneavoastră, oferim o recompensă pentru fiecare raport al unei probleme de securitate care nu ne este cunoscută. Stabilim valoarea recompensei pe baza gravității încălcării și a calității raportului.

Ne străduim să rezolvăm toate problemele cât mai repede posibil, să ținem la curent toate părțile implicate și am dori să fim implicați în orice publicație despre problemă după ce aceasta este rezolvată.

Exemplu: Bits of Freedom

Dependența noastră de infrastructura digitală este în continuă creștere. Acest lucru se aplică societății în ansamblu, dar și nouă înșine. Prin urmare, este opinia noastră că guvernele și organizațiile (inclusiv a noastră) ar trebui să se angajeze ferm în securizarea infrastructurii noastre digitale. Ne dăm seama că, în ciuda celor mai bune intenții și a celei mai mari griji, pot exista vulnerabilități în sistemele noastre. Dacă dați peste una dintre aceste slăbiciuni, ne-ar plăcea să auzim de la dumneavoastră pentru a putea rezolva problema.

Ce așteptăm de la dumneavoastră

• Când investigați unul dintre sistemele noastre, țineți cont de proporționalitatea atacului. Nu este nevoie să demonstrați că dacă supuneți site-ul nostru celui mai mare atac DDoS din istoria internetului, site-ul poate deveni inaccesibil. Știm asta. Înțelegem, de asemenea, că dacă conduceți un buldozer în biroul nostru, probabil veți putea să luați unul dintre laptopurile noastre.

• Acest principiu al proporționalității este relevant și atunci când se demonstrează vulnerabilitatea în sine. Nu ar trebui să inspectați sau să modificați mai multe date decât este strict necesar pentru a confirma validitatea constatării dumneavoastră. De exemplu, dacă puteți modifica pagina noastră de pornire, adăugați doar un singur cuvânt necontroversat în loc să preluați întreaga pagină. Dacă puteți obține acces la o bază de date, este suficient să ne arătați o listă a tabelelor care se află în ea sau poate prima înregistrare dintr-unul dintre aceste tabele.

• O vulnerabilitate în unul dintre sistemele noastre ar trebui raportată cât mai curând posibil trimițând un e-mail la security@bof.nl. De preferință ați cripta mesajul folosind OpenPGP. Vă rugăm să furnizați suficiente informații pentru a putea reproduce și investiga problema.

• Cheia publică OpenPGP pentru security@bof.nl

• Nu veți împărtăși cunoștințele dumneavoastră despre vulnerabilitate cu alte părți cât timp nu am abordat problema și suntem încă într-un interval de timp rezonabil de când ați raportat problema.

• Veți șterge toate informațiile confidențiale pe care le-ați obținut în timpul investigației dumneavoastră de îndată ce am rezolvat vulnerabilitatea.

Ce puteți aștepta de la noi

• Vă vom răspunde raportului în termen de trei zile, într-un mod detaliat. Vom include o estimare a timpului de care vom avea nevoie pentru a aborda problema. Desigur, vă vom ține la curent în mod regulat cu progresul nostru.

• Vom rezolva vulnerabilitatea cât mai curând posibil. Și aici proporționalitatea este importantă: timpul necesar pentru remedierea unei vulnerabilități depinde de mai mulți factori, printre care gravitatea și complexitatea problemei în cauză.

• Când urmați îndrumările prezentate aici, nu vom lua măsuri legale împotriva dumneavoastră cu privire la raportul dumneavoastră.

• Este important pentru noi să vă recunoaștem meritul pentru ceea ce ați făcut - dacă doriți. Vă vom menționa numele într-o publicație despre vulnerabilitate doar dacă sunteți de acord.

• Ca mulțumire pentru ajutorul dat în protejarea mai bună a sistemelor noastre, am dori să recompensăm fiecare raport al unei vulnerabilități care ne era necunoscută la acel moment. Recompensa va depinde de gravitatea vulnerabilității și de calitatea raportului.

Dacă găsiți o vulnerabilitate în software-ul unui terț pe care îl folosim și acea vulnerabilitate este acoperită de un program bug bounty, nu vom încerca să revendicăm această recompensă; ar trebui să o faceți dumneavoastră.