Fox-IT 协同漏洞披露

在 Fox-IT，我们把系统、网络和产品的安全视为重中之重。尽管我们在安全方面非常谨慎，弱点仍可能存在。如果您发现了这样的弱点，我们希望尽快得知，以便尽快采取适当的措施。

弱点可以通过两种方式被发现：您可能在正常使用数字环境时偶然遇到，也可能明确地尽力去寻找。

我们的负责任披露政策并不是邀请您主动扫描我们的业务网络来发现弱点。我们自己会监控业务网络，这意味着扫描很有可能被察觉，我们的安全运营中心（SOC）会展开调查，这可能造成不必要的成本。不过，我们欢迎您在离线的非生产环境中主动查找我们产品中的漏洞，并向我们报告您的发现。出于对客户的责任，我们无意鼓励针对客户基础设施的黑客尝试；但如果发现了漏洞，我们希望尽快收到您的消息，以便妥善解决。

我们希望与您合作，以便更好地保护我们的客户和我们的系统。

我们请您：

• 尽快将您的发现通过电子邮件发送至 security-alert@fox-it.com。

• 不要滥用漏洞，例如下载、编辑或删除数据。我们始终会认真对待您的报告，并调查任何关于漏洞的怀疑，即使没有证据。

• 在问题解决之前，不要向他人分享该问题。

• 不要使用针对物理安全的攻击、社会工程学或漏洞扫描器之类的黑客工具。

• 提供足够的信息以重现问题，以便我们能尽快解决。通常，受影响系统的 IP 地址或网址以及对漏洞的描述就足够了，但对于更复杂的漏洞，可能还需要更多信息。

我们的承诺：

• 我们将在三个工作日内回复您的报告，给出我们对报告的评估和预计的解决日期。

• 我们将保密处理您的报告，未经您许可，不会将您的个人信息分享给第三方。在发生起诉或被要求提供信息时，向警方和司法机关提供除外。

• 我们将随时向您通报问题解决的进展。

• 在有关所报告问题的沟通中，如果您愿意，我们会注明您是发现该问题的一方。

• 遗憾的是，我们无法事先保证不会对您采取法律行动。我们希望能够逐案考虑每种情况。如果我们怀疑弱点或数据被滥用，或怀疑您向他人分享了有关该弱点的信息，我们认为自己在道义上有义务向有关部门举报。您可以放心，在我们的在线环境中偶然发现问题不会导致起诉。

• 为感谢您的帮助，对于每一份我们未知的安全问题报告，我们都会提供奖励。我们根据漏洞的严重程度和报告的质量确定奖励的价值。

我们努力尽快解决所有问题，让所有相关方了解情况，并希望在问题解决后参与任何有关该问题的公开发布。

示例：Bits of Freedom

我们对数字基础设施的依赖与日俱增。这既适用于整个社会，也适用于我们自己。因此我们认为，政府和组织（包括我们自己）应当坚定地致力于保障我们的数字基础设施安全。我们确实认识到，尽管我们怀着最好的意愿、给予了最大的关注，我们的系统中仍可能存在漏洞。如果您恰好发现了这些弱点，我们非常希望收到您的来信，以便我们解决问题。

我们对您的期望

• 当您调查我们的某个系统时，请牢记攻击的相称性。无需通过对我们的网站发起互联网历史上最大规模的 DDoS 攻击，来证明网站可能会无法访问。这一点我们知道。我们也明白，如果您开着推土机撞进我们的办公室，您多半能抢走我们的一台笔记本电脑。

• 这一相称性原则在演示漏洞本身时同样适用。为了确认您的发现有效，您不应查看或修改超出严格必要范围的数据。例如，如果您能够修改我们的主页，只需在其中添加一个无争议的词语，而不是接管整个页面。如果您能够访问某个数据库，只需向我们展示其中的数据表清单，或者也许是某个表中的第一条记录就足够了。

• 我们系统中的漏洞应尽快通过发送电子邮件至 security@bof.nl 进行报告。最好使用 OpenPGP 加密您的邮件。请提供足够的信息，以便我们重现并调查该问题。

• security@bof.nl 的 OpenPGP 公钥

• 只要我们尚未解决该问题，并且距离您报告问题仍在合理的时间范围内，您就不会向其他方分享您所了解的该漏洞信息。

• 一旦我们解决了该漏洞，您将删除调查期间获得的所有保密信息。

您可以期待我们做到

• 我们将在三天内就您的报告给出详细答复。我们会附上我们处理该问题所需时间的预估。当然，我们会定期向您通报进展。

• 我们将尽快解决该漏洞。在这方面，相称性同样重要：修复漏洞所需的时间取决于多种因素，其中包括问题的严重程度和复杂程度。

• 当您遵循此处列出的指引时，我们不会就您的报告对您采取法律行动。

• 如果您愿意，我们很看重对您所做工作的认可。只有在您同意的情况下，我们才会在有关该漏洞的公开发布中提及您的姓名。

• 为感谢您帮助我们更好地保护系统，我们愿意奖励每一份当时我们未知的漏洞报告。奖励将取决于漏洞的严重程度和报告的质量。

如果您在我们使用的第三方软件中发现了漏洞，并且该漏洞属于某个漏洞赏金计划的范围，我们不会试图领取这笔赏金；应当由您来领取。