Zum Inhalt springen

Sicherheit

Richtlinie zur Offenlegung von Schwachstellen

zuletzt aktualisiert

Diese Richtlinie gilt für HIDENENTERPRISES S.L. und ihren Service Duravigil. Sie beschreibt, wie Sie uns eine Sicherheitslücke melden, was wir mit der Meldung tun, wie schnell, und welchen Schutz Sie haben, wenn Sie in gutem Glauben forschen. Wir überprüfen sie mindestens einmal im Jahr.

1. Geltungsbereich

Diese Richtlinie gilt für die Systeme, die wir betreiben:

  • Die Website www.duravigil.com und die anderen Subdomains von duravigil.com, die wir betreiben, einschließlich der Kundenplattform app.duravigil.com.
  • Die Domains duravigil.es, duravigil.cat, duravigil.eu, duravigil.net und durabigil.com.
  • Die Überwachungsplattform von Duravigil und die zugehörigen Dienste, einschließlich des automatisierten Sicherheitstests.

Nicht erfasst sind:

  • Produkte der Hersteller, mit denen wir arbeiten. Melden Sie diese dem jeweiligen Hersteller nach dessen eigener Richtlinie. Wir bestätigen nicht, wer unsere Kunden sind.
  • Dienste Dritter, die wir nutzen, etwa Cloudflare oder Microsoft 365. Melden Sie diese dem jeweiligen Anbieter über dessen eigenes Programm.

2. So melden Sie eine Schwachstelle

Schreiben Sie an security@duravigil.com, auf Englisch oder Spanisch. Damit wir die Meldung gut bearbeiten können, geben Sie bitte an:

  • Welches System oder welche Adresse betroffen ist.
  • Was Sie gefunden haben und welche Auswirkungen es Ihrer Meinung nach hat.
  • Die Schritte, um es nachzuvollziehen, und, falls vorhanden, einen Proof of Concept.
  • Wann Sie es gefunden haben.
  • Wie wir Sie bei Rückfragen erreichen: eine E-Mail-Adresse oder eine Telefonnummer.

Wir empfehlen, vertrauliche Informationen verschlüsselt und signiert zu senden. Unser OpenPGP-Schlüssel ist in Vorbereitung; sobald er veröffentlicht ist, verlinken wir ihn hier und in der security.txt, mit seinem Fingerabdruck. Bis dahin schreiben Sie uns bei heiklen Details zuerst ohne diese, und wir vereinbaren, wie Sie sie schicken.

Anonyme Meldungen

Sie können von einer Adresse schreiben, die Sie nicht identifiziert. Bedenken Sie: Wenn wir Ihnen keine Fragen stellen können, können wir die Meldung womöglich nur teilweise oder gar nicht bearbeiten. Ist das Problem komplex, brauchen wir wahrscheinlich weitere Erklärungen oder Unterlagen.

3. Antwortzeiten

  • Eingangsbestätigung innerhalb von 5 Arbeitstagen nach Ihrer Meldung oder nach jeder Ergänzung, die Sie uns schicken. Ein Mensch schreibt sie; es ist keine automatische Antwort.
  • Eine ausführliche Antwort innerhalb von 10 Arbeitstagen, mit einem dieser drei Inhalte: ob wir die Schwachstelle bestätigen oder ausschließen, welche Fragen wir beantwortet brauchen, um sie zu verstehen, oder warum die Untersuchung länger dauert, verbunden mit der Zusage, Ihnen spätestens nach weiteren 10 Arbeitstagen den nächsten Stand zu schicken.

Arbeitstage zählen wir nach dem Kalender von Cervera (Lleida, Spanien). Für anonyme Meldungen gelten diese Zeiten nicht, weil wir niemandem antworten können. Sie können jederzeit nach dem Stand Ihrer Meldung fragen.

4. Wozu wir uns verpflichten

  • Wir behandeln jede Meldung vertraulich, soweit das Gesetz es erlaubt. Wir veröffentlichen nur, was nötig ist, um die Schwachstelle nach ihrer Behebung offenzulegen.
  • Wir geben Ihre personenbezogenen Daten ohne Ihre ausdrückliche Erlaubnis nicht an Dritte weiter.
  • Wir antworten innerhalb der Zeiten dieser Richtlinie und bleiben während des ganzen Verfahrens erreichbar.
  • Wir verlangen von Ihnen keine Geheimhaltungsvereinbarung.
  • Wenn Sie möchten, danken wir Ihnen nach Abschluss des Falls öffentlich, mit Namen oder Pseudonym.

Schutz bei Handeln in gutem Glauben

Wenn Sie in gutem Glauben forschen und diese Richtlinie einhalten, gehen wir wegen dieser Forschung nicht rechtlich gegen Sie vor und zeigen Sie nicht bei den Behörden an, und wir betrachten sie als von uns genehmigt. Geht ein Dritter wegen etwas gegen Sie vor, das Sie im Rahmen dieser Richtlinie getan haben, stellen wir klar, dass Sie nach ihr gehandelt haben. Das gilt nicht, wenn eine erkennbare kriminelle Absicht vorliegt.

5. Was wir als Schwachstelle betrachten

Als Schwachstelle behandeln wir einen Fehler, der:

  • eines der erfassten Systeme betrifft;
  • noch nicht öffentlich ist;
  • mit einer Erklärung kommt und nicht nur die Ausgabe eines automatischen Werkzeugs ohne weitere Dokumentation ist.

Melden Sie etwas, das wir schon behoben haben, lesen und prüfen wir es trotzdem. Hinweise wie empfohlene Header oder Einstellungen ohne nachweisbare Auswirkung sind willkommen, durchlaufen aber meist nicht das ganze Verfahren.

6. Worum wir Sie bitten

  • Nutzen Sie die Schwachstelle nicht weiter aus, als es für den Nachweis nötig ist, und richten Sie keinen Schaden an.
  • Greifen Sie nicht auf Daten zu, die nicht Ihnen gehören, und ändern oder löschen Sie sie nicht. Stoßen Sie auf personenbezogene Daten anderer, hören Sie auf, informieren Sie uns, und behalten Sie die Daten nicht.
  • Führen Sie keine Denial-of-Service- oder Brute-Force-Angriffe, kein Social Engineering und keine physischen Tests durch, und versenden Sie keine Massenmails.
  • Gefährden oder verändern Sie keine Systeme oder Daten Dritter.
  • Bieten Sie niemandem Werkzeuge an, um die Schwachstelle auszunutzen.
  • Veröffentlichen Sie die Schwachstelle nicht, bevor sie behoben ist oder bevor wir mit Ihnen einen Termin vereinbart haben.

Wir bitten alle Beteiligten um einen respektvollen Umgang miteinander. Beleidigungen oder Diskriminierung jeder Art akzeptieren wir nicht. Hält sich eine Meldung nicht an diese Regeln, bearbeiten wir sie trotzdem, so gut wir können, danken ihrem Absender aber nicht öffentlich.

7. Koordinierung und Offenlegung

Den Veröffentlichungstermin vereinbaren wir mit Ihnen. Bestätigte Schwachstellen veröffentlichen wir spätestens 90 Tage, nachdem wir sie validiert haben. Gibt es einen berechtigten Grund, für die Behebung länger zu brauchen, kann diese Frist einmal um weitere 90 Tage verlängert werden, im Einvernehmen mit Ihnen und mit dem CSIRT, das in Spanien, wo wir niedergelassen sind, als Koordinator benannt ist.

Wird die Schwachstelle aktiv ausgenutzt, melden wir das diesem CSIRT unverzüglich und halten es über den Fortgang der Behebung auf dem Laufenden.

8. Wann ein Fall abgeschlossen ist

Wir betrachten einen Fall als abgeschlossen, wenn eines davon eintritt:

  • die Schwachstelle ist behoben und veröffentlicht;
  • wir stellen fest, dass die Meldung unbegründet ist, und erklären Ihnen, warum;
  • Sie beantworten unsere technischen Fragen mindestens 30 Tage lang nicht, und ohne Ihre Hilfe kommen wir nicht weiter.

Wir teilen Ihnen mit, wenn wir den Fall abschließen, außer bei anonymen Meldungen.

9. Belohnungen

Ein bezahltes Belohnungsprogramm haben wir derzeit nicht. Mit Ihrer Erlaubnis danken wir aber öffentlich allen, die uns eine gültige Schwachstelle melden.

10. Kontakt und Sprachen

Diese Richtlinie gibt es auch auf Spanisch, und bei Abweichungen gilt die spanische Fassung: Política de divulgación de vulnerabilidades.