Sicherheitsrichtlinie

Meldung einer Sicherheitslücke

Die Sicherheit unserer Module und unserer Kunden hat Priorität. Deshalb ermutigen wir Sicherheitsforscher, unsere Module zu analysieren und uns jede festgestellte Schwachstelle zu melden – gemäß den bewährten Verfahren der verantwortungsvollen Offenlegung.

Wenn Sie glauben, eine Schwachstelle in einem unserer Module entdeckt zu haben, können Sie uns diese verantwortungsvoll melden unter: info@idnovate.com.

Bitte geben Sie so viele Details wie möglich an (Beschreibung, Auswirkungen, betroffene Version, Schritte zur Reproduktion).

Unsere Richtlinie zum Umgang mit Schwachstellen

Gemäß der Charta für verantwortungsvolle Cybersicherheit von TouchWeb wendet unser Team die folgenden Grundsätze an:

• Empfangsbestätigung jedes relevanten Berichts innerhalb von maximal 7 Tagen. (CVSS ≥ 4.0)
• Analyse der Auswirkungen und Planung der Behebung innerhalb von maximal 30 Tagen.
• Veröffentlichung eines Sicherheitshinweises mit einer CVE-ID, wenn der CVSS-Wert ≥ 7.5 ist.
• Keine Korrektur wird stillschweigend veröffentlicht.

Parallel dazu gehen wir die folgenden Verpflichtungen ein, um einen verantwortungsvollen und ethischen Umgang mit Schwachstellen zu gewährleisten:

• Wir werden keine rechtlichen Schritte gegen Forscher einleiten, die in gutem Glauben handeln, insbesondere im Rahmen des von TouchWeb SAS verwalteten YesWeHack-Programms.
• Wir garantieren, dass keine Vertraulichkeitsvereinbarung, auch nicht im White-Label-Kontext, die transparente Veröffentlichung eines Sicherheitshinweises mit einer CVE-ID verhindert, entsprechend den bewährten Branchenpraktiken.

Uns ist bewusst, dass diese Transparenz wesentlich ist, damit die beteiligten Dritten (Agenturen, Händler usw.) ihren regulatorischen Pflichten nachkommen können, insbesondere im Rahmen des PCI-DSS-Standards oder einer seiner vereinfachten Versionen wie SAQ-A.

Veröffentlichungsgenehmigung

Wir ermächtigen die Firma TouchWeb SAS ausdrücklich, Informationen zu behobenen Schwachstellen in unseren Modulen auf ihrer offiziellen Website zu veröffentlichen, gemäß den Verpflichtungen der Charta für verantwortungsvolle Cybersicherheit.

Diese Veröffentlichung kann Folgendes enthalten:

• Eine mit der Schwachstelle verknüpfte CVE-Kennung.
• Einen Sicherheitshinweis, der das Problem und seine Behebung klar beschreibt.
• Die betroffenen Versionen und die Version, die die Korrektur enthält.
• Einen leicht anzuwendenden Patch, wenn das Update schwer umzusetzen ist.
• Alle nützlichen Informationen, die Nutzern und Agenturen helfen, sich schnell zu schützen.

Offenlegung

Nachfolgend finden Sie die Liste der bekannten und behobenen Sicherheitslücken: