Fox-IT: Koordinované zverejňovanie zraniteľností

V spoločnosti Fox-IT považujeme bezpečnosť našich systémov, našej siete a našich produktov za mimoriadne dôležitú. Napriek veľkej starostlivosti, ktorú bezpečnosti venujeme, môžu stále zostať slabé miesta. Ak ste takú slabinu našli, radi by sme sa o nej dozvedeli čo najskôr, aby sme mohli čo najrýchlejšie prijať vhodné opatrenia.

Slabé miesta možno objaviť dvoma spôsobmi: môžete na niečo náhodne natrafiť pri bežnom používaní digitálneho prostredia, alebo sa ich môžete výslovne snažiť nájsť.

Naše zásady zodpovedného zverejňovania nie sú pozvánkou na aktívne skenovanie našej podnikovej siete s cieľom odhaliť slabé miesta. Našu podnikovú sieť monitorujeme sami. To znamená, že existuje vysoká pravdepodobnosť, že sa sken zistí a že náš Security Operation Center (SOC) vykoná vyšetrovanie, čo by mohlo viesť k zbytočným nákladom. Pozývame vás však, aby ste aktívne hľadali zraniteľnosti v našich produktoch v offline neprodukčnom prostredí a svoje zistenia nám nahlásili. Naša zodpovednosť voči našim zákazníkom znamená, že naším úmyslom nie je podporovať pokusy o hackovanie ich infraštruktúry; chceli by sme však od vás čo najskôr počuť, ak sa zraniteľnosti nájdu, aby sme ich mohli adekvátne vyriešiť.

Radi by sme s vami spolupracovali, aby sme mohli lepšie chrániť našich zákazníkov a naše systémy.

Žiadame vás, aby ste:

Svoje zistenia čo najskôr poslali e-mailom na security-alert@fox-it.com.
Zraniteľnosť nezneužívali; napríklad sťahovaním, úpravou alebo mazaním údajov. Vaše hlásenie vždy vezmeme vážne a preveríme akékoľvek podozrenie na zraniteľnosť, aj bez dôkazu.
Problém nezdieľali s ostatnými, kým nebude vyriešený.
Nepoužívali útoky na fyzickú bezpečnosť, sociálne inžinierstvo ani hackerské nástroje, ako sú skenery zraniteľností.
Poskytli dostatok informácií na reprodukciu problému, aby sme ho mohli vyriešiť čo najrýchlejšie. Zvyčajne postačuje IP adresa alebo URL postihnutého systému a opis zraniteľnosti, hoci pri zložitejších zraniteľnostiach môžu byť potrebné ďalšie informácie.

Čo sľubujeme:

Na vaše hlásenie odpovieme do troch pracovných dní s naším vyhodnotením hlásenia a očakávaným dátumom vyriešenia.
S vaším hlásením naložíme dôverne a vaše osobné údaje nebudeme zdieľať s tretími stranami bez vášho súhlasu. Výnimkou je polícia a súdnictvo v prípade trestného stíhania alebo ak sa informácie vyžiadajú.
Budeme vás informovať o pokroku pri riešení problému.
V komunikácii o nahlásenom probléme uvedieme vaše meno ako stranu, ktorá problém objavila, ak si to želáte.
Žiaľ, nie je možné vopred zaručiť, že voči vám nebudú podniknuté právne kroky. Dúfame, že budeme môcť posúdiť každú situáciu samostatne. Považujeme sa za morálne povinných vás nahlásiť, ak máme podozrenie, že sa slabina alebo údaje zneužívajú, alebo že ste zdieľali poznatky o slabine s ostatnými. Môžete si byť istí, že náhodné objavenie v našom online prostredí nepovedie k trestnému stíhaniu.
Ako poďakovanie za vašu pomoc ponúkame odmenu za každé hlásenie bezpečnostného problému, ktorý nám nie je známy. Hodnotu odmeny určujeme na základe závažnosti porušenia a kvality hlásenia.

Snažíme sa vyriešiť všetky problémy čo najrýchlejšie, informovať všetky zúčastnené strany a radi by sme sa podieľali na akomkoľvek zverejnení o probléme po jeho vyriešení.

Príklad: Bits of Freedom

Naša závislosť od digitálnej infraštruktúry stále rastie. Platí to pre spoločnosť ako celok, ale aj pre nás samých. Preto sme toho názoru, že vlády a organizácie (vrátane tej našej) by sa mali pevne zaviazať k zabezpečeniu našej digitálnej infraštruktúry. Uvedomujeme si, že napriek našim najlepším úmyslom a najväčšej starostlivosti môžu v našich systémoch existovať zraniteľnosti. Ak náhodou nájdete niektorú z týchto slabín, radi by sme sa o nej dozvedeli, aby sme mohli problém vyriešiť.

Čo od vás očakávame

Keď skúmate niektorý z našich systémov, majte na pamäti primeranosť útoku. Nie je potrebné dokazovať, že ak náš web vystavíte najväčšiemu DDoS útoku v histórii internetu, stránka sa môže stať nedostupnou. Vieme to. Chápeme aj to, že ak vojdete do našej kancelárie buldozérom, pravdepodobne sa vám podarí schmatnúť jeden z našich notebookov.
Táto zásada primeranosti je dôležitá aj pri predvedení samotnej zraniteľnosti. Nemali by ste si prezerať ani upravovať viac údajov, než je striktne nevyhnutné na potvrdenie platnosti vášho zistenia. Napríklad, ak dokážete upraviť našu domovskú stránku, pridajte na ňu iba jedno nekontroverzné slovo namiesto prevzatia celej stránky. Ak získate prístup k databáze, stačí nám ukázať zoznam tabuliek, ktoré sa v nej nachádzajú, alebo možno prvý záznam v jednej z týchto tabuliek.
Zraniteľnosť v niektorom z našich systémov by ste mali nahlásiť čo najskôr zaslaním e-mailu na security@bof.nl. Najlepšie je, ak správu zašifrujete pomocou OpenPGP. Poskytnite dostatok informácií, aby sme mohli problém reprodukovať a preskúmať.
Verejný kľúč OpenPGP pre security@bof.nl
Nebudete zdieľať svoje poznatky o zraniteľnosti s inými stranami, kým sme problém neriešili a kým sme stále v primeranej lehote od nahlásenia problému.
Vymažete všetky dôverné informácie, ktoré ste získali počas vyšetrovania, hneď ako zraniteľnosť odstránime.

Čo môžete očakávať od nás

Na vaše hlásenie odpovieme do troch dní podrobne. Zahrnieme odhad času, ktorý budeme potrebovať na vyriešenie problému. Samozrejme, budeme vás pravidelne informovať o našom pokroku.
Zraniteľnosť odstránime čo najskôr. Aj tu je dôležitá primeranosť: čas potrebný na opravu zraniteľnosti závisí od viacerých faktorov, medzi ktoré patrí závažnosť a zložitosť daného problému.
Ak dodržíte tu stanovené zásady, nepodnikneme voči vám v súvislosti s vaším hlásením žiadne právne kroky.
Je pre nás dôležité uznať vašu zásluhu – ak si to želáte. Vaše meno uvedieme v publikácii o zraniteľnosti iba vtedy, ak s tým budete súhlasiť.
Ako poďakovanie za pomoc pri lepšej ochrane našich systémov by sme radi odmenili každé hlásenie o zraniteľnosti, ktorá nám v tom čase nebola známa. Odmena bude závisieť od závažnosti zraniteľnosti a kvality hlásenia.

Ak nájdete zraniteľnosť v softvéri tretej strany, ktorý používame, a táto zraniteľnosť je pokrytá programom odmien za chyby (bug bounty), nebudeme sa pokúšať si túto odmenu nárokovať; mali by ste to urobiť vy.