Divulgazione responsabile

A chi serve questa pagina

Serve a chi trova un difetto di sicurezza in ciò che pubblichiamo e vuole dircelo prima che lo trovi qualcun altro. Una policy scritta esiste perché quella decisione — dirlo a noi, e come — non debba essere presa nel momento in cui la scoperta è già avvenuta.

Il recapito è ripetuto anche in un file leggibile dalle macchine, all’indirizzo /.well-known/security.txt di questo sito, nel formato previsto dalla RFC 9116: è il primo posto in cui un ricercatore guarda, e contiene un rimando a questa pagina.

Dove scrivere

Scrivi a info@cryptoverso.net, indicando «sicurezza» nell’oggetto.

Va detto com’è: quella non è ancora una casella dedicata alla sicurezza, ma il recapito generale. È un ripiego dichiarato, e finché resta tale trattiamo comunque le segnalazioni di sicurezza con priorità sulle altre. Il giorno in cui la casella dedicata esisterà, cambieranno questa riga e il file leggibile dalle macchine, insieme.

Nella segnalazione sono utili: la pagina o l’endpoint interessato, i passi per riprodurre il problema, che cosa hai ottenuto e che cosa ti aspettavi di ottenere, e data e ora del tentativo. Una registrazione dello schermo o una richiesta salvata valgono più di una descrizione lunga.

Non è necessario che tu ci dica il tuo nome. Se preferisci restare anonimo, la segnalazione vale lo stesso: l’unica cosa che perdiamo è la possibilità di aggiornarti.

Che cosa succede dopo, e in quanto tempo

• confermiamo di aver ricevuto la segnalazione appena possibile: il nostro obiettivo dichiarato è entro cinque giorni lavorativi;
• ti diciamo se abbiamo riprodotto il problema e come lo abbiamo classificato, puntando a farlo entro quindici giorni lavorativi;
• se il problema è confermato, ti teniamo aggiornato fino alla chiusura, e comunque ogni volta che lo stato cambia;
• quando è risolto te lo comunichiamo, e se lo desideri ti citiamo pubblicamente come autore della scoperta — con il nome che preferisci, o senza nessun nome.

Sono obiettivi dichiarati e non termini contrattuali, e la ragione è scritta due paragrafi sopra: il recapito è quello generale, non una casella dedicata con un turno dietro. Prometterti una scadenza che nessun processo sostiene sarebbe peggio che non prometterla — il giorno in cui la casella dedicata e il turno esisteranno, queste righe torneranno a essere termini e lo diranno. Se un problema è grave e riguarda dati di altre persone, la nostra prima mossa è contenerlo, non discuterne: in quel caso può capitare che la risposta arrivi dopo, ma dopo un intervento già fatto.

Che cosa rientra, e che cosa no

Rientrano questo sito, la piattaforma di analisi e i nostri sottodomini, insieme al codice che pubblichiamo nei repository dei laboratori.

Non rientrano:

• i servizi di terze parti che usiamo — vanno segnalati a loro, che hanno i propri canali; se non sai a chi scrivere, chiedilo a noi;
• gli attacchi che mirano a rendere un servizio indisponibile, e qualunque prova di carico: non servono a dimostrare niente che non sappiamo già, e degradano il servizio per chi lo sta usando;
• l’ingegneria sociale verso di noi, verso i nostri collaboratori o verso i nostri utenti, e l’invio di messaggi di prova attraverso i moduli pubblici;
• l’uscita grezza di uno strumento di scansione automatica senza una dimostrazione dell’impatto: un elenco di intestazioni mancanti non è una segnalazione, è un rapporto di scansione;
• le questioni che riguardano configurazioni di posta o di dominio senza uno scenario di abuso concreto allegato.

Che cosa ti chiediamo

• di non divulgare pubblicamente il problema finché non è risolto, o comunque per novanta giorni dalla segnalazione — se dopo quel termine non abbiamo risolto né spiegato perché, sei libero di pubblicare;
• di fermarti appena hai la prova che il problema esiste: nessun accesso a dati di altre persone oltre il minimo necessario, nessuna modifica e nessuna cancellazione di dati che non siano tuoi;
• di non degradare il servizio per gli altri e di non usare la scoperta per ottenere qualcosa da noi o da terzi.

Se rispetti questi punti, consideriamo la tua ricerca svolta in buona fede e non intraprendiamo azioni legali nei tuoi confronti per averla svolta.

Perché non c’è un premio

Un programma con ricompense in denaro va gestito: qualcuno deve valutare, decidere quanto vale ogni segnalazione, pagare e rispondere a chi contesta l’importo. Promettere un compenso che nessuno ha stanziato e nessuno amministra è peggio che non prometterlo — trasforma un rapporto di collaborazione in un contenzioso alla prima richiesta di pagamento.

Quindi qui non c’è un premio, e lo diciamo prima invece di scoprirlo insieme dopo. Ciò che offriamo è una risposta vera nei tempi scritti sopra e, se la vuoi, la citazione pubblica della scoperta. Se un giorno un programma con ricompense esisterà davvero, sarà scritto in questa pagina con le sue regole.