Координирано разкриване на уязвимости
Coordinated Vulnerability Disclosure / VDP за Password Depot
Цел на тази политика
AceBIT GmbH приветства сигнали за уязвимости в Password Depot и в свързаните с него продуктови уеб услуги, за които отговаря AceBIT. Тази политика описва как изследователите по сигурността могат да съобщават за потенциални уязвимости, какви правила важат при изследванията по сигурността и какви ангажименти поема AceBIT в рамките на координираното разкриване.
Сигнали могат да се подават на немски или английски език.
Обхват
- Password Depot Enterprise Server
- Password Depot Windows Client
- Password Depot macOS Client
- Password Depot Linux Client
- Browser Extension (Chrome, Edge, Firefox)
- Мобилни приложения (iOS, Android)
- Продуктови уеб услуги под password-depot.de
Включително компоненти на трети страни, доколкото са част от посочените продукти.
Не са включени
- Продуктивни клиентски среди, специфични за клиента инсталации и други системи на трети страни
- Услуги или инфраструктури, управлявани от трети страни, които не са част от Password Depot
- Social Engineering, Phishing, физически атаки, спам, Brute Force, Credential Stuffing, масови сканирания или тестове за Denial-of-Service
Safe Harbor
Ако действате добросъвестно, спазвате тази политика, ограничавате тестовете си до описания по-горе обхват и не четете, променяте, изтривате, ексфилтрирате данни или не нарушавате работата на услуги, ние – доколкото това е правно допустимо – няма да предявяваме гражданскоправни претенции във връзка с това изследване по сигурността.
Доколкото това е в рамките на нашето влияние и е правно допустимо, няма да подаваме и наказателен сигнал за такова изследване по сигурността.
Това не се отнася за действия извън обхвата, за тестове срещу клиентски или други системи на трети страни, за нарушения на защитата на данните, смущения в работата или други нарушения на приложимото право.
Нашите очаквания към изследователите по сигурността
Шифрована комуникация
За чувствителни технически подробности, моля, използвайте публичния PGP ключ на екипа по сигурността на Password Depot. Моля, проверете отпечатъка на изтегления ключ, преди да шифровате.
Допълнително може да бъде открит и чрез RFC 9116 (security.txt) на /.well-known/security.txt.
Как да докладвате уязвимост
Изпратете доклад
Моля, изпратете Вашия доклад на:
security@password-depot.deМоля, приложете следното
- Засегнат продукт, версия, build и компонент
- Описание на уязвимостта
- Стъпки за възпроизвеждане / Proof of Concept
- Оценка на въздействието и степента на сериозност
- Тестова среда, конфигурация и предпоставки
- Данни за контакт и при необходимост желание за посочване на името
Поверителност
Обработваме Вашия доклад и – ако желаете – Вашата самоличност поверително, доколкото това е допустимо по закон. Публикуваме името Ви само с Вашето предварително съгласие.
Вашите данни се предоставят само доколкото това е необходимо за проверката, отстраняването и координираното разкриване на уязвимостта или за изпълнение на законови задължения.
Какво се случва след Вашия доклад
Координирано разкриване и Security Advisories
Веднага щом бъде налична актуализация за сигурност или друга ефективна коригираща мярка, по правило публикуваме Security Advisory за потвърдени уязвимости.
Ако незабавното публикуване би застрашило сигурността на нашите потребители, можем да отложим публикуването до подходящ момент.
Един Security Advisory съдържа най-малко
- Описание на уязвимостта
- Засегнатите продукти и версии
- Въздействие и степен на сериозност
- Ясни указания за отстраняване или смекчаване
Указание относно законовите задължения за уведомяване
Ако даден сигнал сочи към активно експлоатирана уязвимост или към сериозен инцидент със сигурността, може да сме законово задължени да предоставим необходимата техническа информация на компетентните органи, съответния CSIRT и ENISA, както и да уведомим засегнатите потребители.
Предаваме Вашата самоличност само доколкото това е законово необходимо.
Признание
Понастоящем не предлагаме финансови награди или Bug-Bounty плащания, освен ако това не бъде изрично обявено отделно.
Ако желаете, след отстраняване на уязвимостта ще Ви посочим в Security Advisory или в благодарствено съобщение. Моля, уведомете ни за това при подаването на сигнала си.