Politica di divulgazione coordinata delle vulnerabilità di Keenetic
Emittente e ambito di applicazione: L'entità che emette la presente Politica è Keenetic GmbH, Berliner Straße 300b, 63067 Offenbach am Main, Germania. La presente Politica è stabilita come la Politica di riferimento per tutte le entità Keenetic nel mondo.
In qualità di ricercatore di sicurezza o segnalatore di vulnerabilità, il lavoro dell'utente è fondamentale per rafforzare la sicurezza dei prodotti e delle infrastrutture digitali. Abbiamo creato questa politica di Divulgazione Coordinata delle Vulnerabilità (“CVD”) per garantire che le scoperte dell'utente siano trattate con rispetto, gestite in modo responsabile e seguite rapidamente. Essa stabilisce come Keenetic (denominata “Keenetic GmbH”, “noi”) risponderà alle segnalazioni dell'utente, le garanzie che l'utente può aspettarsi e i passaggi che portano a un processo di divulgazione di successo.
Inoltre, vogliamo assicurarci che i contributi dell'utente siano apprezzati. Incoraggiamo a partecipare al programma di bug Bounty di Keenetic, che offre ricompense finanziarie per esprimere il nostro apprezzamento e incoraggiare una collaborazione continua.
Partecipando a questo processo, l'utente non solo aiuta a proteggere utenti e organizzazioni, ma si unisce anche a una comunità in cui la sua esperienza è riconosciuta e premiata. Insieme, possiamo rendere i prodotti Keenetic più sicuri, creare fiducia e dare vita a un ecosistema digitale più forte.
Ⅰ. Ambito di applicazione della politica CVD – Cosa consideriamo una vulnerabilità valida
Una vulnerabilità valida, nel contesto di questa politica, è intesa come una debolezza, un difetto o un problema di sicurezza che riguarda direttamente uno dei prodotti o delle infrastrutture di Keenetic che può essere sfruttato.
Per qualificarsi come segnalazione valida, le informazioni divulgate non devono essere già di dominio pubblico, garantendo così che la segnalazione apporti nuove e utili conoscenze al processo di sicurezza. Inoltre, le segnalazioni generate esclusivamente da strumenti o scansioni automatizzate senza un'adeguata documentazione di supporto non sono considerate adeguate, in quanto prive delle prove necessarie per consentire un'analisi e una risoluzione significative di una vulnerabilità valida. Ogni segnalazione dovrebbe idealmente contenere dettagli di supporto. Questo ci aiuta a concentrarci sui problemi reali e a rispondere più rapidamente.
Ⅱ. Come segnalare una vulnerabilità
Quando si scopre una vulnerabilità valida, si deve presentare una segnalazione utilizzando i seguenti canali.
Email: È possibile inviarci un'e-mail a security@keenetic.com per garantire un coordinamento e un monitoraggio adeguati.
Modulo web: Forniamo un modulo di invio web sicuro sulla nostra pagina di divulgazione delle vulnerabilità: https://keenetic.com/security/anonymous-reporting-form. Questo modulo supporta la segnalazione anonima. Non è necessario fornire alcuna informazione personale per inviare una segnalazione; tuttavia, si tenga presente che in caso di segnalazione anonima non saremo in grado di porre domande di approfondimento, il che potrebbe limitare la nostra capacità di indagare sul problema. Il modulo web è disponibile in inglese e guida l'utente a includere i dettagli chiave di cui abbiamo bisogno.
Security.txt: Sul nostro sito web keenetic.com/security.txt manteniamo un file che elenca i nostri contatti e le nostre preferenze per la divulgazione delle vulnerabilità. I segnalatori possono fare riferimento a questo file per informazioni aggiornate su come contattarci.
Quando si invia una segnalazione, si prega di includere il maggior numero possibile di dettagli tecnici. Questo ci aiuta a classificare e risolvere il problema più velocemente. Suggeriamo di fornire:
• Una descrizione della vulnerabilità e del suo potenziale impatto. Cosa potrebbe ottenere un aggressore? Quali aspetti di riservatezza/integrità/disponibilità sono a rischio? Quale potrebbe essere il sistema interessato nell'infrastruttura IT di Keenetic (ad es. Sistemi aziendali Keenetic, sistema operativo, app, monitoraggio e gestione remota, cloud e account Keenetic)?
• Specifici nomi di prodotto, versioni e configurazioni interessati. (Per siti web o servizi, includere URL o IP; per hardware o software, includere numeri di modello o di versione)
• Passaggi per riprodurre il problema – ad es. quali comandi, input o azioni attivano la vulnerabilità. Screenshot o codice proof-of-concept (PoC) sono molto utili.
• Eventuali correzioni suggerite o riferimenti a soluzioni (opzionali, ma apprezzati).
• Le informazioni di contatto (nome o alias e un metodo sicuro per essere contattati) se si desidera una risposta. È possibile segnalare in modo anonimo, ma in tal caso non potremo comunicare con l'utente per chiarimenti o per fornire aggiornamenti sullo stato.
Informazioni volontarie: il segnalatore può fornire volontariamente le informazioni di contatto per il coordinamento, ma non è tenuto a fornire informazioni di identificazione personale. È possibile utilizzare il nostro modulo di segnalazione anonima basato sul sito web.
Ⅲ. Cosa ci aspettiamo dall'utente – Codice di condotta
Premiamo e riconosciamo solo i risultati dei segnalatori che, nell'ambito di questa politica CVD, aderiscono a elevati standard di integrità e comportamento responsabile nella scoperta e segnalazione di vulnerabilità. Pertanto, non tolleriamo i seguenti comportamenti:
• Test in buona fede: i segnalatori devono condurre solo test non distruttivi e necessari a confermare l'esistenza della vulnerabilità (Proof of Concept). Non devono compromettere intenzionalmente i dati degli utenti, interrompere i servizi o danneggiare i sistemi.
• Nessuno sfruttamento oltre il test: Lo sfruttamento attivo di una vulnerabilità oltre il test iniziale di proof-of-concept è severamente proibito. In particolare, non abusare della vulnerabilità per compromettere dati, alterare configurazioni, passare ad altri sistemi o accedere persistentemente ai nostri sistemi. È sufficiente attivare il problema per dimostrarne l'esistenza – non scaricare, ad esempio, più dati del necessario per dimostrare il difetto. Se si incontrano informazioni sensibili (ad es. dati personali di utenti, materiale proprietario), interrompere i test, segnalarcelo immediatamente e non divulgare o conservare tali informazioni.
• Nessuna ingegneria sociale o attacco fisico: non utilizzare tecniche di ingegneria sociale (e-mail di phishing, pretexting telefonico, ecc.) contro i nostri dipendenti o sistemi e non eseguire alcun test di sicurezza fisica (come il tentativo di entrare nei nostri uffici o data center). Questa politica è limitata alle vulnerabilità tecniche dei nostri prodotti e infrastrutture ed esclude i vettori di attacco sociali e fisici.
• Nessun attacco di tipo denial-of-service o “forza bruta”: Astenersi dall'eseguire attacchi DoS/DDoS o qualsiasi test che possa degradare la disponibilità dei nostri servizi per gli utenti, nonché attacchi di tipo “forza bruta”. Vogliamo evitare qualsiasi interruzione per i nostri clienti.
• Nessun attacco a terze parti o pubblico: non prendere di mira le vulnerabilità di servizi o prodotti di terze parti che utilizziamo (si prega invece di avvisare direttamente tali fornitori). Allo stesso modo, non testare sistemi che non sono di nostra proprietà o gestiti da noi. Se durante la ricerca si accede inavvertitamente a dati o sistemi di altre parti, avvisateci e cessate ogni ulteriore azione. Non compromettere o manipolare dati di terzi durante la ricerca.
• Riservatezza e uso delle informazioni: i segnalatori devono mantenere riservati i dettagli della vulnerabilità e non devono divulgare pubblicamente, vendere o distribuire in altro modo il codice di exploit o i dettagli tecnici che ne consentirebbero lo sfruttamento fino a quando Keenetic non avrà fornito un avviso pubblico o autorizzato in altro modo la divulgazione. Ciò non impedisce al segnalatore di informare le autorità competenti, il CSIRT nazionale o le forze dell'ordine, ove richiesto dalla legge o laddove la divulgazione immediata sia necessaria per prevenire un danno imminente.
• Periodo di rimedio: a Keenetic sarà concesso un periodo di rimedio ragionevole, basato sulla gravità, per indagare, rimediare e distribuire gli aggiornamenti di sicurezza. Se Keenetic non riesce a rimediare o a fornire una mitigazione credibile entro un periodo ragionevole, il segnalatore può informare un CSIRT nazionale o un'autorità competente.
Se un segnalatore viola inavvertitamente una parte di questo codice di condotta, ci impegniamo a gestire comunque in buona fede e al meglio delle nostre capacità qualsiasi vulnerabilità scoperta; tuttavia, tale segnalatore potrebbe non ricevere alcuna ricompensa.
Ⅳ. Il nostro impegno verso l'utente quando viene segnalata una vulnerabilità
Tutte le segnalazioni in arrivo vengono trattate nella massima misura possibile. Pertanto, è necessario fornire almeno un'opzione di contatto valida quando si segnala una vulnerabilità. Naturalmente, è possibile segnalare una vulnerabilità in modo anonimo.
1. Risposta
Dopo l'invio di una segnalazione di vulnerabilità, informeremo l'utente di averla ricevuta. Si tratterà di una risposta personale da parte del nostro team di sicurezza. Se avremo bisogno di chiarimenti o di informazioni aggiuntive, le chiederemo il prima possibile. Si tenga presente che, per le segnalazioni anonime, ovviamente non possiamo rispondere, ma procederemo con l'indagine. Per la trasmissione di informazioni riservate, è necessario che l'utente fornisca almeno la propria e-mail per poter utilizzare la nostra chiave di crittografia PGP disponibile all'indirizzo https://keenetic.com/it/security/keenetic-security-pgp-public-key.asc
Dopo un'ulteriore analisi della segnalazione, forniremo un feedback sull'accettazione o il rifiuto della vulnerabilità segnalata, domande pertinenti per comprendere la vulnerabilità segnalata o una spiegazione del perché l'indagine sulla vulnerabilità segnalata sta richiedendo più tempo del previsto.
2. Comunicazione riservata
Garantiamo, nella misura consentita dalla legge, che ogni segnalazione di vulnerabilità in arrivo sia trattata in modo confidenziale e che i dati personali dell'utente non vengano divulgati a terzi senza il suo esplicito consenso.
Le informazioni necessarie per la divulgazione pubblica della vulnerabilità convalidata e verificata vengono divulgate pubblicamente nella misura in cui siamo obbligati per legge.
3. Segnalazione anonima (opzionale)
È possibile utilizzare il nostro modulo di segnalazione anonima basato sul sito web.
Pur rispettando il desiderio dell'utente di rimanere anonimo, si prega di essere consapevoli che le segnalazioni anonime possono essere elaborate solo in misura limitata o forse per nulla, a causa della mancanza di opzioni per richiedere chiarimenti tecnici o di contenuto, specialmente in caso di problemi complessi.
4. Comunicazione rispettosa e aperta
Tutte le comunicazioni rimarranno professionali e tratteremo l'utente con rispetto. Ci aspettiamo la stessa cortesia in cambio – abbiamo tolleranza zero per qualsiasi discriminazione, molestia o mancanza di rispetto nelle comunicazioni da entrambe le parti.
Il nostro team di sicurezza potrebbe contattare l'utente con domande per comprendere meglio il problema o richiedere artefatti tecnici e istruzioni riproducibili in modo che la vulnerabilità possa essere riprodotta e risolta. Incoraggiamo l'utente a chiedere aggiornamenti in qualsiasi momento; consideriamo le richieste di follow-up benvenute e un segno di interesse, non un fastidio.
V. Coordinamento e completamento della divulgazione
Le vulnerabilità convalidate e verificate vengono divulgate pubblicamente da Keenetic. La notifica pubblica include:
-
Una descrizione della vulnerabilità.
-
Informazioni che consentono agli utenti di identificare i prodotti/le versioni interessati.
-
L'impatto e la gravità.
-
Istruzioni chiare su come applicare misure correttive o una patch.
Il processo di divulgazione coordinata delle vulnerabilità è considerato concluso se la vulnerabilità è stata mitigata o corretta mediante misure appropriate, se è stata divulgata pubblicamente oppure se gli elementi riportati nella segnalazione della vulnerabilità risultano infondati e, di conseguenza, la segnalazione può essere elaborata solo in misura limitata o non può essere elaborata affatto.
Consideriamo completato un processo CVD quando si verifica una delle seguenti condizioni:
-
è stata implementata una correzione o una mitigazione ed è stato rilasciato un avviso pubblico; oppure
-
il problema segnalato è stato determinato non essere una vulnerabilità (falso positivo o fuori ambito) e ciò è stato comunicato al segnalatore; oppure
-
non siamo in grado di riprodurre o necessitiamo di maggiori informazioni e il segnalatore non risponde per un periodo prolungato (generalmente 30 giorni), nel qual caso chiudiamo il caso in attesa di nuove informazioni.
Comunichiamo la fine del processo CVD al segnalatore, a meno che la vulnerabilità sia stata segnalata in modo anonimo.
Ⅵ. Ricompense
Apprezziamo profondamente gli sforzi dei segnalatori e di altri che ci segnalano privatamente le vulnerabilità. Come segno di ringraziamento, gestiamo un Programma Bug Bounty. I ricercatori di sicurezza esterni che segnalano responsabilmente le vulnerabilità in conformità con questa politica possono avere diritto a una ricompensa finanziaria come segno di apprezzamento. L'importo di qualsiasi ricompensa è determinato individualmente in base alla gravità della vulnerabilità segnalata, come descritto nei nostri Termini e condizioni del Bug Bounty.
Ⅶ. Clausola di esonero da responsabilità legale
Aderendo a questa politica CVD, Keenetic riconosce che il segnalatore agisce in una ricerca di "buona fede" e non intraprenderà azioni penali contro il segnalatore in relazione alle attività di ricerca.