Divulgação coordenada de vulnerabilidades
Coordinated Vulnerability Disclosure / VDP para Password Depot
Objetivo desta política
A AceBIT GmbH recebe com satisfação comunicações sobre vulnerabilidades no Password Depot e em serviços web relacionados ao produto, de responsabilidade da AceBIT. Esta política descreve como pesquisadores de segurança podem reportar vulnerabilidades potenciais, quais regras se aplicam à pesquisa de segurança e quais compromissos a AceBIT assume no âmbito de uma divulgação coordenada.
Os reportes podem ser feitos em alemão ou inglês.
Escopo
- Password Depot Enterprise Server
- Password Depot Windows Client
- Password Depot macOS Client
- Password Depot Linux Client
- Extensão de navegador (Chrome, Edge, Firefox)
- Aplicativos móveis (iOS, Android)
- Serviços web relacionados ao produto em password-depot.de
Incluindo componentes de terceiros, desde que façam parte dos produtos mencionados.
Não incluído
- Ambientes produtivos de clientes, instalações específicas de clientes e outros sistemas de terceiros
- Serviços ou infraestruturas operados por terceiros que não fazem parte do Password Depot
- Engenharia social, phishing, ataques físicos, spam, força bruta, credential stuffing, varreduras em massa ou testes de negação de serviço
Safe Harbor
Se você agir de boa-fé, seguir esta política, limitar seus testes ao escopo descrito acima e não acessar, alterar, excluir, exfiltrar dados nem afetar serviços, renunciaremos – na medida legalmente permitida – a reivindicações civis relacionadas a essa pesquisa de segurança.
Na medida em que isso estiver sob nosso controle e for legalmente permitido, também não apresentaremos denúncia criminal por esse tipo de pesquisa de segurança.
Isso não se aplica a ações fora do escopo, a testes contra sistemas de clientes ou de outros terceiros, a violações de proteção de dados, interrupções operacionais ou outras infrações à legislação aplicável.
Nossas expectativas em relação aos pesquisadores de segurança
Comunicação criptografada
Para detalhes técnicos sensíveis, use a chave pública PGP da equipe de segurança do Password Depot. Antes de criptografar, verifique a impressão digital da chave baixada.
Também disponível via RFC 9116 (security.txt) em /.well-known/security.txt.
Como relatar uma vulnerabilidade
Enviar relato
Envie seu relato para:
security@password-depot.deInclua o seguinte
- Produto afetado, versão, build e componente
- Descrição da vulnerabilidade
- Etapas para reprodução / Proof of Concept
- Avaliação do impacto e da gravidade
- Ambiente de teste, configuração e pré-requisitos
- Dados de contato e, se aplicável, preferência quanto à menção do nome
Confidencialidade
Tratamos seu relato e – se assim desejar – sua identidade de forma confidencial, na medida do permitido por lei. Publicaremos seu nome somente com seu consentimento prévio.
Seus dados só serão compartilhados na medida em que isso for necessário para a análise, correção e divulgação coordenada da vulnerabilidade ou para o cumprimento de obrigações legais.
O que acontece após seu relato
Divulgação coordenada e Security Advisories
Assim que uma atualização de segurança ou outra medida corretiva eficaz estiver disponível, normalmente publicaremos um Security Advisory para vulnerabilidades confirmadas.
Se uma publicação imediata puder comprometer a segurança dos nossos usuários, poderemos adiar a publicação até um momento apropriado.
Um Security Advisory contém, no mínimo,
- Uma descrição da vulnerabilidade
- Os produtos e as versões afetados
- Impacto e gravidade
- Orientações claras para correção ou mitigação
Aviso sobre obrigações legais de notificação
Se uma notificação indicar uma vulnerabilidade explorada ativamente ou um incidente grave de segurança, poderemos ser legalmente obrigados a transmitir as informações técnicas necessárias às autoridades competentes, ao CSIRT responsável e à ENISA, bem como informar os usuários afetados.
Sua identidade só será compartilhada na medida em que isso for legalmente exigido.
Reconhecimento
No momento, não oferecemos recompensas financeiras nem pagamentos de bug bounty, a menos que isso seja expressamente anunciado separadamente.
Se desejar, poderemos citar você em um Security Advisory ou em um agradecimento após a correção da vulnerabilidade. Informe-nos isso ao enviar sua notificação.