Getnoticed hecht veel belang aan de beveiliging van haar systemen en die van haar klanten. Ondanks alle voorzorgsmaatregelen blijft het mogelijk dat een zwakke plek in de systemen te vinden is. Wanneer u een zwakke plek in één van onze systemen ontdekt, vernemen wij dit graag van u, zodat wij snel gepaste maatregelen kunnen nemen. Door het maken van een melding zal Getnoticed uw melding conform onderstaande afspraken afhandelen.
Wij vragen het volgende van u
- Mail uw bevindingen naar support@getnoticed.nl.
- Geef voldoende informatie om het probleem te reproduceren, zodat we het zo snel mogelijk kunnen oplossen. Meestal is het IP-adres of de URL van het getroffen systeem en een omschrijving van de kwetsbaarheid voldoende, maar bij complexere kwetsbaarheden kan meer nodig zijn.
- Wij houden ons aanbevolen voor tips die ons helpen het probleem op te lossen. Beperkt u zich daarbij wel graag tot verifieerbare feitelijkheden die betrekking hebben op de door u geconstateerde kwetsbaarheid en vermijd dat uw advies in feite neerkomt op reclame voor specifieke (beveiligings)producten.
- Laat contactgegevens achter, zodat we met u in contact kunnen treden om samen te werken aan een veilig resultaat. Laat minimaal één e-mailadres of telefoonnummer achter.
- Dien de melding a.u.b. zo snel mogelijk in na ontdekking van de kwetsbaarheid.
De volgende handelingen zijn niet toegestaan
- Het plaatsen van malware, noch op onze systemen noch op die van anderen;
- Publiekelijk melden van gevonden feiten
- Kopiëren, aanpassen of verwijderen van data of systemen
- Zorgen voor spam, misbruik of schade
- Het gebruik maken van technieken waarmee de beschikbaarheid en/of bruikbaarheid van het systeem of services wordt verminderd (DoS-aanvallen);
- Zorgen voor een interruptie van de werking van onze systemen
- Tentoonstellen van gevoelige data zoals bijv. klanten gegevens.
- Gebruik maken van social engineering
- Het openbaar maken of aan derden verstrekken van informatie over het beveiligingsprobleem voordat het is opgelost;
- Het verrichten van handelingen die verder gaan dan wat strikt noodzakelijk is om het beveiligingsprobleem aan te tonen en te melden. In het bijzonder waar het gaat om het verwerken (waaronder het inzien of kopiëren) van vertrouwelijke gegevens waar u door de kwetsbaarheid toegang toe heeft gehad. In plaats van een complete database te kopiëren, kunt u normaliter volstaan met bijvoorbeeld een directory listing. Het wijzigen of verwijderen van gegevens in het systeem is nooit toegestaan;
- Het op wat voor (andere) wijze dan ook misbruik maken van de kwetsbaarheid.
Wat wij beloven
- Indien u aan alle bovenstaande voorwaarden voldoet, zullen wij geen strafrechtelijke aangifte tegen u doen en ook geen civielrechtelijke zaak tegen u aanspannen.
- Als blijkt dat u een bovenstaande voorwaarde toch heeft geschonden, kunnen wij alsnog besluiten om gerechtelijke stappen tegen u te ondernemen.
- Wij behandelen een melding vertrouwelijk en delen persoonlijke gegevens van een melder niet zonder diens toestemming met derden, tenzij wij daar volgens de wet of een rechterlijke uitspraak toe verplicht zijn.
- In onderling overleg kunnen we, indien u dit wenst, uw naam vermelden als de ontdekker van de gemelde kwetsbaarheid. In alle andere gevallen blijft u anoniem.
- Wij sturen u binnen 1 werkdag een (automatische) ontvangstbevestiging en wij houden u op de hoogte van de voortgang van de oplossing.
- Wij kunnen u een beloning bieden voor een ons nog onbekend beveiligingsprobleem als dank voor de hulp. Afhankelijk van de ernst van het beveiligingsprobleem en de kwaliteit van de melding, kan die beloning variëren van een eenvoudig ‘dankjewel’, tot een kleine financiële beloning.
- Wij belonen alleen serieuze beveiligingsproblemen met een financiële beloning (Logins kunnen omzeilen, toegang tot persoonlijke data).
Out-of-scope Kwetsbaarheden
- Social engineering attacks, inclusief attacks die gericht zijn op ons interne personeel
- Fysieke aanvallen op onze infrastructuur, kantoor of faciliteiten
- Scanner output of door scanners gegenereerde rapportages. Inclusief geautomatiseerde exploit tools
- Elke kwetsbaarheid verkregen door misbruiken van een medewerkers account
- Netwerk kwetsbaarheden zoals:
- Account takeover (PLA, User enumeration, etc)
- SpamClickjacking, Login/Logout CSRF
- Fingerprinting, error message disclosure
- Protocol level attacks (bijv. BEAST/BREACH)
- Het missen van security headers, httponly flags, etc.
Uitzonderingen
Getnoticed kan, indien het gaat om een kwetsbaarheid met een laag of geaccepteerd risico, besluiten een melding niet te belonen. Hieronder staan enkele voorbeelden van dergelijke kwetsbaarheden:
- HTTP 404-codes of andere niet HTTP 200-codes
- Toevoegen van platte tekst in 404-pagina’s
- Versiebanners op publieke services
- Publiek toegankelijke bestanden en mappen met niet-gevoelige informatie
- Clickjacking op pagina’s zonder inlogfunctie
- Cross-site request forgery (CSRF) op formulieren die anoniem toegankelijk zijn
- Ontbreken van ‘secure’ / ‘HTTP Only’ vlaggen op niet-gevoelige cookies
- Gebruik van de HTTP OPTIONS Method
- Host Header Injection
- Ontbreken van SPF, DKIM en DMARC records
- Ontbreken van DNSSEC
- Ontbreken van één of meerdere van de volgende HTTP Security Headers:
- Strict-Transport-Security (HSTS)
- HTTP Public Key Pinning (HPKP)
- Content-Security-Policy (CSP)
- X-Content-Type-Options
- X-Frame-Options
- X-WebKit-CSP
- X-XSS-Protection
