Security

Zgłaszanie podatności bezpieczeństwa

Zorin sp. z o.o. sp. k. traktuje bezpieczeństwo swoich produktów poważnie i docenia zaangażowanie badaczy bezpieczeństwa, którzy odpowiedzialnie zgłaszają znalezione podatności. Niniejsza strona opisuje zasady skoordynowanego ujawniania podatności (Coordinated Vulnerability Disclosure, CVD) obowiązujące w naszej firmie.

Jak zgłosić podatność

Zgłoszenie prosimy przesłać na adres: security@zorin.pl (alias: psirt@zorin.pl).

Dla zgłoszeń poufnych zalecamy szyfrowanie wiadomości naszym kluczem PGP:

• Fingerprint klucza: 41CB ADFB 7055 A423 C2B3  6831 7F0C B463 519E 7109
• Pełny klucz publiczny: https://zorin.pl/security/pgp-key.asc

Co powinno zawierać zgłoszenie

• nazwę dotkniętego produktu/komponentu lub adres URL usługi oraz wersję oprogramowania/firmware,
• opis podatności wraz z krokami umożliwiającymi jej odtworzenie, zrzutami ekranu oraz kodem Proof-of-Concept (PoC), jeśli to możliwe,
• szacowaną ocenę wpływu na bezpieczeństwo oraz — jeśli to możliwe — wstępną punktację CVSS,
• dane kontaktowe zgłaszającego oraz preferencje dotyczące uznania (credit).

Nasze zobowiązania wobec zgłaszających (safe harbor)

Nie podejmujemy działań prawnych wobec badaczy działających w dobrej wierze i zgodnie z niniejszą polityką, pod warunkiem że: nie naruszają prywatności innych osób, nie degradują naszych usług oraz nie uzyskują dostępu do danych innych użytkowników. Każde zgłoszenie zostanie potwierdzone, a zgłaszający będzie informowany o postępach.

Prosimy o zachowanie poufności informacji o podatności do czasu udostępnienia oficjalnej poprawki oraz o uzgodnienie z nami terminu publicznego ujawnienia.

Czego nie robić podczas testów bezpieczeństwa

Niedozwolone są: ataki DoS/DDoS, próby brute-force, socjotechnika (np. phishing), modyfikacja lub niszczenie danych, instalacja złośliwego oprogramowania oraz dostęp do kont lub danych innych użytkowników.

Co jest poza zakresem (zgłoszenia niekwalifikowalne)

• błędy ortograficzne, redakcyjne lub kosmetyczne bez wpływu na bezpieczeństwo,
• brakujące nagłówki HTTP lub odstępstwa od dobrych praktyk konfiguracyjnych bez wykazanego wpływu na bezpieczeństwo,
• strony błędów (np. 404) oraz publicznie dostępne informacje bez możliwości wykorzystania,
• zgłoszenia pochodzące wyłącznie z automatycznych skanerów, bez potwierdzonej możliwości wykorzystania (PoC).

Czasy reakcji

Uznanie zgłaszających

Badacze, którzy przestrzegają niniejszej polityki i współpracują z nami w dobrej wierze, mogą — za swoją zgodą — zostać wymienieni w publikowanym advisory jako odkrywcy podatności.

Kontakt

• E-mail: security@zorin.pl / psirt@zorin.pl
• Klucz PGP (fingerprint): 41CB ADFB 7055 A423 C2B3 6831 7F0C B463 519E 7109
• Pojedynczy punkt kontaktowy: Dział IT ZORIN sp. z o.o.