Fox-IT: Koordinirano razkrivanje ranljivosti

V družbi Fox-IT varnost svojih sistemov, omrežja in izdelkov štejemo za izjemno pomembno. Kljub veliki skrbnosti, ki jo namenjamo varnosti, lahko še vedno ostanejo šibke točke. Če ste našli takšno slabost, bi želeli to izvedeti čim prej, da lahko čim hitreje sprejmemo ustrezne ukrepe.

Šibke točke je mogoče odkriti na dva načina: lahko slučajno naletite nanje med običajno uporabo digitalnega okolja ali pa se izrecno trudite, da jih najdete.

Naša politika odgovornega razkrivanja ni vabilo k aktivnemu skeniranju našega poslovnega omrežja za odkrivanje šibkih točk. Svoje poslovno omrežje nadzorujemo sami. To pomeni, da obstaja velika verjetnost, da bo skeniranje zaznano in da bo naš Security Operation Center (SOC) opravil preiskavo, kar bi lahko povzročilo nepotrebne stroške. Vabimo vas pa, da aktivno iščete ranljivosti v naših izdelkih v izvenmrežnem neprodukcijskem okolju in nam svoje ugotovitve sporočite. Naša odgovornost do strank pomeni, da nimamo namena spodbujati poskusov vdora v njihovo infrastrukturo; vendar bi želeli od vas slišati čim prej, če so ranljivosti najdene, da jih lahko ustrezno rešimo.

Radi bi sodelovali z vami, da bi lahko bolje zaščitili svoje stranke in sisteme.

Prosimo vas, da:

Svoje ugotovitve čim prej pošljete po e-pošti na security-alert@fox-it.com.
Ranljivosti ne zlorabljate; na primer s prenosom, urejanjem ali brisanjem podatkov. Vaše poročilo bomo vedno vzeli resno in preiskali vsak sum ranljivosti, tudi brez dokaza.
Težave ne delite z drugimi, dokler ni rešena.
Ne uporabljate napadov na fizično varnost, socialnega inženiringa ali orodij za vdore, kot so skenerji ranljivosti.
Navedete dovolj informacij za ponovitev težave, da jo bomo lahko rešili čim hitreje. Običajno zadostujeta naslov IP ali URL prizadetega sistema in opis ranljivosti, čeprav so pri bolj zapletenih ranljivostih lahko potrebne dodatne informacije.

Kaj obljubljamo:

Na vaše poročilo bomo odgovorili v treh delovnih dneh s svojo oceno poročila in pričakovanim datumom rešitve.
Vaše poročilo bomo obravnavali zaupno in vaših osebnih podatkov ne bomo delili s tretjimi osebami brez vašega dovoljenja. Izjema sta policija in sodstvo v primeru pregona ali če se informacije zahtevajo.
O napredku pri reševanju težave vas bomo sproti obveščali.
V komunikaciji o prijavljeni težavi bomo, če želite, navedli vaše ime kot stranko, ki je težavo odkrila.
Žal ni mogoče vnaprej zagotoviti, da zoper vas ne bodo sprožena nobena pravna dejanja. Upamo, da bomo lahko vsako situacijo obravnavali posamično. Menimo, da smo moralno dolžni prijaviti vas, če sumimo, da se šibka točka ali podatki zlorabljajo, ali da ste védenje o šibki točki delili z drugimi. Lahko ste prepričani, da naključno odkritje v našem spletnem okolju ne bo privedlo do pregona.
V zahvalo za vašo pomoč ponujamo nagrado za vsako poročilo o varnostni težavi, ki nam ni znana. Vrednost nagrade določimo na podlagi resnosti kršitve in kakovosti poročila.

Prizadevamo si, da vse težave rešimo čim hitreje, obveščamo vse vpletene strani in želimo sodelovati pri vsaki objavi o težavi, ko je ta rešena.

Primer: Bits of Freedom

Naša odvisnost od digitalne infrastrukture nenehno narašča. To velja za družbo kot celoto, pa tudi za nas same. Zato menimo, da bi se morale vlade in organizacije (vključno z našo) odločno zavezati k varovanju naše digitalne infrastrukture. Zavedamo se, da kljub našim najboljšim namenom in največji skrbnosti v naših sistemih lahko obstajajo ranljivosti. Če naletite na eno od teh slabosti, bi radi slišali od vas, da lahko težavo odpravimo.

Kaj pričakujemo od vas

Ko raziskujete katerega od naših sistemov, upoštevajte sorazmernost napada. Ni treba dokazovati, da lahko naše spletno mesto, če ga izpostavite največjemu napadu DDoS v zgodovini interneta, postane nedosegljivo. To vemo. Razumemo tudi, da boste, če z buldožerjem zapeljete v našo pisarno, verjetno lahko ugrabili enega od naših prenosnikov.
To načelo sorazmernosti je pomembno tudi pri dokazovanju same ranljivosti. Ne smete pregledovati ali spreminjati več podatkov, kot je nujno potrebno za potrditev veljavnosti vaše ugotovitve. Če lahko na primer spremenite našo domačo stran, ji dodajte le eno nespodbudno besedo, namesto da prevzamete celotno stran. Če lahko pridobite dostop do podatkovne baze, zadošča, da nam pokažete seznam tabel v njej ali morda prvi zapis v eni od teh tabel.
Ranljivost v enem od naših sistemov je treba prijaviti čim prej s pošiljanjem e-pošte na security@bof.nl. Sporočilo po možnosti šifrirajte z OpenPGP. Navedite dovolj informacij, da lahko težavo ponovimo in raziščemo.
Javni ključ OpenPGP za security@bof.nl
Svojega védenja o ranljivosti ne boste delili z drugimi, dokler težave nismo rešili in smo še v razumnem časovnem okviru od vaše prijave težave.
Vse zaupne informacije, ki ste jih pridobili med raziskavo, boste izbrisali takoj, ko ranljivost odpravimo.

Kaj lahko pričakujete od nas

Na vaše poročilo bomo podrobno odgovorili v treh dneh. Vključili bomo oceno časa, ki ga bomo potrebovali za rešitev težave. Seveda vas bomo redno obveščali o našem napredku.
Ranljivost bomo odpravili čim prej. Tudi tu je pomembna sorazmernost: čas, potreben za odpravo ranljivosti, je odvisen od več dejavnikov, med drugim od resnosti in zapletenosti obravnavane težave.
Če boste upoštevali tukaj navedene smernice, zoper vas v zvezi z vašim poročilom ne bomo sprožili pravnih postopkov.
Pomembno nam je, da vam priznamo zasluge za to, kar ste storili – če to želite. Vaše ime bomo v objavi o ranljivosti navedli le, če se s tem strinjate.
V zahvalo za pomoč pri boljši zaščiti naših sistemov bi radi nagradili vsako poročilo o ranljivosti, ki nam je bila takrat neznana. Nagrada bo odvisna od resnosti ranljivosti in kakovosti poročila.

Če najdete ranljivost v programski opremi tretje osebe, ki jo uporabljamo, in je ta ranljivost zajeta v programu nagrad za napake (bug bounty), te nagrade ne bomo poskušali zahtevati; to morate storiti vi.