Richtlinie zur Offenlegung von Sicherheitslücken

Socialinsider – ein Produkt von Code Path SRL

Socialinsider setzt sich dafür ein, die Sicherheit seiner Nutzer durch den Schutz ihrer Informationen zu gewährleisten. Diese Richtlinie gibt Sicherheitsforschern Leitlinien für die Suche nach Schwachstellen und Anweisungen dazu, wie sie uns Schwachstellen melden können.

Diese Richtlinie beschreibt, welche Systeme und Arten von Sicherheitsforschung darunter fallen, wie du uns Berichte über Schwachstellen senden kannst und wie lange Sicherheitsforscher vor der öffentlichen Bekanntgabe von Schwachstellen warten sollen. Wir empfehlen dir, uns zu kontaktieren, um potenzielle Schwachstellen in unseren Systemen zu melden.

Wenn du dich bei deiner Sicherheitsforschung nach bestem Wissen und Gewissen an diese Richtlinie hältst, betrachten wir deine Forschung als autorisiert und arbeiten mit dir zusammen, um das Problem schnell zu verstehen und zu beheben. Socialinsider wird in Verbindung mit deiner Forschung keine rechtlichen Schritte empfehlen oder einleiten. Sollte eine dritte Partei wegen Aktivitäten, die gemäß dieser Richtlinie durchgeführt wurden, rechtliche Schritte gegen dich einleiten, werden wir diese Autorisierung bestätigen.

Richtlinien

Im Rahmen dieser Richtlinie bezeichnet „Forschung“ Aktivitäten, bei denen du als Sicherheitsforscher:

  • uns so schnell wie möglich benachrichtigst, nachdem du ein Sicherheitsproblem entdeckt hast.
  • alles dafür tust, Datenschutzverletzungen, eine Beeinträchtigung der Nutzererfahrung, Störungen von Produktionssystemen sowie die Zerstörung oder Manipulation von Daten zu vermeiden.
  • Exploits nur in dem Umfang verwendest, der erforderlich ist, um das Vorhandensein einer Schwachstelle zu bestätigen. Verwende einen Exploit nicht, um Daten zu kompromittieren oder zu exfiltrieren, einen dauerhaften Kommandozeilenzugriff einzurichten oder den Exploit auf andere Systeme auszuweiten.
  • uns ausreichend Zeit gibst, das Problem zu beheben, bevor du es öffentlich machst.
  • keine große Anzahl minderwertiger Berichte einreichst.

Damit wir die Berichte besser verstehen können, empfehlen wir, dass deine Einreichung:

  • den Ort beschreibt, an dem die Schwachstelle entdeckt wurde, sowie die möglichen Auswirkungen ihrer Ausnutzung.
  • eine detaillierte Beschreibung der erforderlichen Schritte zur Reproduktion der Schwachstelle enthält – Screenshots oder Videoaufnahmen sind hilfreich.
  • auf Englisch verfasst ist

Sobald du festgestellt hast, dass eine Schwachstelle besteht, oder auf sensible Daten stößt (einschließlich personenbezogener Daten, Finanzinformationen oder geschützter Informationen beziehungsweise Geschäftsgeheimnisse einer Partei), musst du deinen Test abbrechen, uns sofort benachrichtigen und diese Daten an niemanden weitergeben.

Verbotene Praktiken

Die folgenden Testmethoden sind nicht zulässig:

  • Tests zur Verhinderung der Dienstverfügbarkeit (DoS oder DDoS) oder andere Tests, die den Zugriff auf Systeme beeinträchtigen
  • Nichttechnische Tests auf Schwachstellen

Diese Richtlinie gilt für die folgenden Systeme und Dienste:

  • https://www.socialinsider.io
  • https://app.socialinsider.io

Alle oben nicht ausdrücklich aufgeführten Dienste, einschließlich verbundener Dienste, sind vom Umfang ausgeschlossen und dürfen nicht getestet werden.
Außerdem fallen in den Systemen unserer Anbieter gefundenen Schwachstellen nicht unter den Umfang dieser Richtlinie und sollten gemäß der Offenlegungsrichtlinie des jeweiligen Anbieters (falls vorhanden) direkt an diesen gemeldet werden.
Wenn du nicht sicher bist, ob ein System vom Umfang abgedeckt ist, kontaktiere uns unter security@socialinsider.io, bevor du mit deiner Recherche beginnst

Wenn es ein bestimmtes System gibt, das nicht vom Umfang abgedeckt ist, deiner Ansicht nach aber getestet werden sollte, kontaktiere uns bitte zuerst, um dies zu besprechen. Der Umfang dieser Richtlinie kann im Laufe der Zeit erweitert werden.

Eine Schwachstelle melden

Im Rahmen dieser Richtlinie übermittelte Informationen werden ausschließlich zu Schutzmaßnahmen verwendet – zur Eindämmung oder Behebung von Schwachstellen.

Wenn deine Ergebnisse neu entdeckte Schwachstellen enthalten, die alle Nutzer eines Produkts oder Dienstes und nicht nur Socialinsider betreffen, können wir deinen Bericht an Dritte weitergeben. Dort wird er im Rahmen des koordinierten Prozesses zur Offenlegung von Schwachstellen bearbeitet.

Wir geben deine Kontaktdaten nicht ohne ausdrückliche Zustimmung weiter.
Wir nehmen Berichte über Schwachstellen unter security@socialinsider.io entgegen. Berichte können anonym eingereicht werden.

Wenn du dich entscheidest, deine Kontaktdaten mit uns zu teilen, verpflichten wir uns, so offen und schnell wie möglich mit dir zusammenzuarbeiten.

  • Innerhalb von 7 Werktagen bestätigen wir den Eingang deines Berichts.
  • Wir bestätigen dir das Vorhandensein der Schwachstelle und informieren dich so transparent wie möglich über die Schritte, die wir während des Behebungsprozesses unternehmen
  • Wir halten den Austausch über die Probleme aufrecht.