Fox-IT Koordineli Güvenlik Açığı Bildirimi

Fox-IT'de sistemlerimizin, ağımızın ve ürünlerimizin güvenliğini son derece önemli görüyoruz. Güvenlik konusunda gösterdiğimiz büyük özene rağmen, zayıf noktalar yine de kalabilir. Böyle bir zayıflık bulduysanız, uygun önlemleri mümkün olan en kısa sürede alabilmemiz için bunu en kısa zamanda öğrenmek isteriz.

Zayıf noktalar iki şekilde keşfedilebilir: dijital bir ortamın normal kullanımı sırasında tesadüfen bir şeye rastlayabilirsiniz ya da onları bulmak için açıkça elinizden geleni yapabilirsiniz.

Sorumlu bildirim politikamız, zayıf noktaları keşfetmek için iş ağımızı aktif olarak taramaya yönelik bir davet değildir. İş ağımızı kendimiz izliyoruz. Bu, bir taramanın tespit edilme ve Güvenlik Operasyon Merkezimiz (Security Operation Center, SOC) tarafından bir soruşturma yürütülme olasılığının yüksek olduğu anlamına gelir; bu da gereksiz maliyetlere yol açabilir. Bununla birlikte, ürünlerimizdeki güvenlik açıklarını çevrimdışı, üretim dışı bir ortamda aktif olarak aramaya ve bulgularınızı bize bildirmeye davetlisiniz. Müşterilerimize karşı sorumluluğumuz, niyetimizin onların altyapısına yönelik korsanlık girişimlerini teşvik etmek olmadığı anlamına gelir; ancak güvenlik açıkları bulunursa, bunları yeterli şekilde çözebilmemiz için sizden en kısa sürede haber almak isteriz.

Müşterilerimizi ve sistemlerimizi daha iyi koruyabilmek için sizinle çalışmak isteriz.

Sizden şunları rica ediyoruz:

Bulgularınızı en kısa sürede security-alert@fox-it.com adresine e-posta ile gönderin.
Güvenlik açığını kötüye kullanmayın; örneğin veri indirerek, düzenleyerek veya silerek. Raporunuzu her zaman ciddiye alacağız ve kanıt olmasa bile bir güvenlik açığına dair her şüpheyi araştıracağız.
Sorun çözülene kadar bunu başkalarıyla paylaşmayın.
Fiziksel güvenliğe yönelik saldırılar, sosyal mühendislik veya güvenlik açığı tarayıcıları gibi korsanlık araçları kullanmayın.
Sorunun yeniden üretilebilmesi için yeterli bilgi verin, böylece mümkün olan en kısa sürede çözebilelim. Genellikle etkilenen sistemin IP adresi veya URL'si ile güvenlik açığının bir açıklaması yeterlidir, ancak daha karmaşık güvenlik açıkları için daha fazla bilgi gerekebilir.

Neyi vaat ediyoruz:

Raporunuza üç iş günü içinde, raporun değerlendirmesi ve beklenen çözüm tarihiyle yanıt vereceğiz.
Raporunuzu gizli olarak ele alacağız ve kişisel bilgilerinizi izniniz olmadan üçüncü taraflarla paylaşmayacağız. Buna istisna, kovuşturma durumunda veya bilgi talep edilmesi halinde polis ve yargıdır.
Sorunun çözümündeki ilerleme hakkında sizi bilgilendireceğiz.
Bildirilen sorunla ilgili iletişimde, isterseniz adınızı sorunu keşfeden taraf olarak belirteceğiz.
Ne yazık ki size karşı hiçbir yasal işlem yapılmayacağını önceden garanti etmek mümkün değildir. Her durumu ayrı ayrı değerlendirebilmeyi umuyoruz. Zayıflığın veya verilerin kötüye kullanıldığından ya da zayıflık bilgisini başkalarıyla paylaştığınızdan şüphelenirsek, sizi bildirmeyi ahlaki olarak zorunlu görüyoruz. Çevrimiçi ortamımızda tesadüfen yapılan bir keşfin kovuşturmaya yol açmayacağından emin olabilirsiniz.
Yardımınız için teşekkür olarak, bize bilinmeyen her güvenlik sorunu raporu için bir ödül sunuyoruz. Ödülün değerini, ihlalin ciddiyetine ve raporun kalitesine göre belirliyoruz.

Tüm sorunları mümkün olan en kısa sürede çözmeye, ilgili tüm tarafları bilgilendirmeye çalışıyoruz ve sorun çözüldükten sonra konuyla ilgili herhangi bir yayına dahil olmak isteriz.

Örnek: Bits of Freedom

Dijital altyapıya bağımlılığımız giderek artıyor. Bu, bir bütün olarak toplum için olduğu kadar bizim için de geçerlidir. Bu nedenle, hükümetlerin ve kuruluşların (bizimki dahil) dijital altyapımızı güvence altına almaya güçlü bir şekilde bağlı olması gerektiği kanaatindeyiz. En iyi niyetlerimize ve en büyük özenimize rağmen sistemlerimizde güvenlik açıkları bulunabileceğinin farkındayız. Bu zayıflıklardan birini bulursanız, sorunu çözebilmemiz için sizden haber almaktan memnuniyet duyarız.

Sizden beklentilerimiz

Sistemlerimizden birini incelerken saldırının orantılılığını göz önünde bulundurun. Web sitemizi internet tarihindeki en büyük DDoS saldırısına maruz bıraktığınızda sitenin erişilemez hale gelebileceğini göstermenize gerek yok. Bunu biliyoruz. Ayrıca ofisimize bir buldozerle girerseniz muhtemelen dizüstü bilgisayarlarımızdan birini kapabileceğinizi de anlıyoruz.
Bu orantılılık ilkesi, güvenlik açığının kendisini göstermede de geçerlidir. Bulgunuzun geçerliliğini doğrulamak için kesinlikle gerekenden fazla veriyi incelememeli veya değiştirmemelisiniz. Örneğin ana sayfamızı değiştirebiliyorsanız, sayfanın tamamını ele geçirmek yerine oraya tek bir tartışmasız kelime ekleyin. Bir veritabanına erişim sağlayabiliyorsanız, içindeki tabloların bir listesini veya belki bu tablolardan birinin ilk kaydını göstermeniz yeterlidir.
Sistemlerimizden birindeki bir güvenlik açığı, mümkün olan en kısa sürede security@bof.nl adresine e-posta gönderilerek bildirilmelidir. Mesajınızı tercihen OpenPGP kullanarak şifrelemelisiniz. Sorunu yeniden üretip araştırabilmemiz için lütfen yeterli bilgi verin.
security@bof.nl için genel OpenPGP anahtarı
Biz sorunu ele almadığımız ve sorunu bildirdiğinizden bu yana hâlâ makul bir süre içinde olduğumuz sürece, güvenlik açığı hakkındaki bilginizi başka taraflarla paylaşmayacaksınız.
Soruşturmanız sırasında elde ettiğiniz tüm gizli bilgileri, güvenlik açığını çözer çözmez sileceksiniz.

Bizden beklentileriniz

Raporunuza üç gün içinde ayrıntılı bir şekilde yanıt vereceğiz. Sorunu ele almak için gerekli süreye dair bir tahmin ekleyeceğiz. Elbette ilerlememiz hakkında sizi düzenli olarak bilgilendireceğiz.
Güvenlik açığını mümkün olan en kısa sürede çözeceğiz. Burada da orantılılık önemlidir: bir güvenlik açığını düzeltmek için gereken süre, ele alınan sorunun ciddiyeti ve karmaşıklığı dahil birkaç faktöre bağlıdır.
Burada ortaya konan yönergelere uyarsanız, raporunuz nedeniyle size karşı yasal işlem yapmayacağız.
Yaptığınız şey için size - isterseniz - itibar kazandırmak bizim için önemlidir. Adınızı güvenlik açığıyla ilgili bir yayında yalnızca siz kabul ederseniz anacağız.
Sistemlerimizi daha iyi korumamıza yardım ettiğiniz için bir teşekkür olarak, o sırada bilmediğimiz her güvenlik açığı raporunu ödüllendirmek isteriz. Ödül, güvenlik açığının ciddiyetine ve raporun kalitesine bağlı olacaktır.

Kullandığımız üçüncü taraf yazılımda bir güvenlik açığı bulursanız ve bu açık bir hata ödül (bug bounty) programı kapsamındaysa, bu ödülü biz talep etmeye çalışmayacağız; bunu siz yapmalısınız.