Zgłoś podatność lub problem z bezpieczeństwem produktu

Zgłoszenie dotyczące podatności lub innego problemu z cyberbezpieczeństwem naszego produktu należy wysłać e-mailem na adres: psirt@fakro.com

Jeśli przesyłasz poufne informacje lub kod pokazujący sposób wykorzystania podatności, możesz zaszyfrować wiadomość za pomocą naszego klucza PGP.

Link do klucza: PGP KEY

Aby zgłoszenie można było sprawnie zweryfikować, należy podać następujące informacje:

• numer seryjny produktu;
• opis zaobserwowanego problemu;
• sposób odtworzenia problemu, jeżeli jest znany;
• informacje o możliwych skutkach podatności;
• Twoje dane kontaktowe (e-mail, telefon) umożliwiające dalszą komunikację. 

Numer seryjny jest podstawowym identyfikatorem produktu. Na jego podstawie możemy ustalić m.in. model produktu oraz przypisane do niego wersje sprzętu i oprogramowania. 

Zalecamy również dołączenie zdjęcia tabliczki znamionowej. Pozwoli to ograniczyć ryzyko błędnego odczytania numeru seryjnego. 

Do zgłoszenia możesz dodatkowo dołączyć materiały, które ułatwią analizę problemu, w szczególności: 

• zdjęcia lub zrzuty ekranu;
• nagrania;
• logi systemowe;
• pliki konfiguracyjne;
• przykładowe komunikaty lub pakiety sieciowe;
• raporty z testów;
• skrypt lub Proof of Concept pokazujący sposób odtworzenia podatności. 

Nie musisz przygotowywać exploita ani samodzielnie klasyfikować podatności. W zgłoszeniu wystarczy możliwie dokładnie opisać zauważony problem. 

Po otrzymaniu zgłoszenia: 

1. potwierdzimy jego otrzymanie; 
2. zweryfikujemy kompletność przekazanych informacji; 
3. przeprowadzimy analizę techniczną; 
4. w razie potrzeby skontaktujemy się z Tobą; 
5. ustalimy działania naprawcze i sposób ograniczenia ryzyka; 
6. poinformujemy Cię o postępie lub wyniku analizy, w zakresie, w jakim będzie to możliwe. 

Planowany czas potwierdzenia otrzymania zgłoszenia: do 3 dni roboczych. Czas pełnej analizy zależy od złożoności problemu, dostępności produktu, konieczności przeprowadzenia testów oraz zakresu wymaganych działań naprawczych. 

Podczas testowania i zgłaszania podatności przestrzegaj następujących zasad:

• nie uzyskuj dostępu do danych innych osób;
• nie kopiuj, nie usuwaj ani nie modyfikuj danych, które nie należą do Ciebie;
• nie zakłócaj działania produktów, usług ani infrastruktury;
• nie prowadź testów na urządzeniach klientów bez ich wyraźnej zgody;
• nie wykorzystywuj podatności do osiągania korzyści lub wyrządzania szkód;
• nie publikuj szczegółów podatności przed uzgodnieniem terminu ujawnienia;
• przekazuj wyłącznie te informacje, które są niezbędne do przeprowadzenia analizy.

Jeżeli podczas testów przypadkowo uzyskasz dostęp do danych osobowych, poufnych informacji lub systemów osób trzecich, natychmiast przerwij działania i opisz nam tę sytuację w zgłoszeniu.

Nie publikuj informacji umożliwiających wykorzystanie podatności przed zakończeniem jej analizy i wdrożeniem odpowiednich działań naprawczych. 

W przypadku potwierdzonej podatności możemy uzgodnić z Tobą: 

• termin publikacji informacji;
• zakres ujawnianych szczegółów;
• sposób wskazania autora zgłoszenia (Twoje dane zostaną ujawnione wyłącznie po uzyskaniu Twojej zgody);
• publikację komunikatu bezpieczeństwa;
• przypisanie identyfikatora CVE, jeżeli będzie to uzasadnione. 

Jeżeli zgłoszenie dotyczy bezpieczeństwa strony internetowej, infrastruktury informatycznej, kont użytkowników lub systemów wewnętrznych, skontaktuj się za pośrednictwem: cybersecurity@fakro.pl

Kontakt

Zespół odpowiedzialny za bezpieczeństwo produktów: FAKRO PSIRT

E-mail: psirt@fakro.com

Klucz PGP: PGP KEY

Informacje kontaktowe dla badaczy bezpieczeństwa są również dostępne pod adresem: security.txt