Polityka bezpieczeństwa

Zgłoszenie luki w zabezpieczeniach

Bezpieczeństwo naszych modułów i naszych klientów jest priorytetem. Dlatego zachęcamy badaczy bezpieczeństwa do analizowania naszych modułów i zgłaszania nam wszelkich wykrytych luk, zgodnie z zasadami odpowiedzialnego ujawniania.

Jeśli uważasz, że odkryłeś lukę w jednym z naszych modułów, możesz odpowiedzialnie nas o tym poinformować pod adresem: info@idnovate.com.

Podaj jak najwięcej szczegółów (opis, wpływ, dotknięta wersja, kroki do odtworzenia).

Nasza polityka zarządzania lukami w zabezpieczeniach

Zgodnie z Kartą Odpowiedzialnego Cyberbezpieczeństwa TouchWeb nasz zespół stosuje następujące zasady:

• Potwierdzenie otrzymania każdego istotnego zgłoszenia w ciągu maksymalnie 7 dni. (CVSS ≥ 4.0)
• Analiza wpływu i zaplanowanie poprawki w ciągu maksymalnie 30 dni.
• Publikacja biuletynu bezpieczeństwa z identyfikatorem CVE, jeśli wynik CVSS wynosi ≥ 7.5.
• Żadna poprawka nie zostanie opublikowana po cichu.

Równolegle podejmujemy następujące zobowiązania, aby zapewnić odpowiedzialne i etyczne zarządzanie lukami w zabezpieczeniach:

• Nie podejmiemy kroków prawnych wobec badaczy działających w dobrej wierze, w szczególności w ramach programu YesWeHack zarządzanego przez TouchWeb SAS.
• Gwarantujemy, że żadna umowa o zachowaniu poufności, nawet w kontekście white label, nie uniemożliwi przejrzystej publikacji biuletynu bezpieczeństwa z identyfikatorem CVE, zgodnie z najlepszymi praktykami branżowymi.

Jesteśmy w pełni świadomi, że ta przejrzystość jest niezbędna, aby zaangażowane strony trzecie (agencje, sprzedawcy itp.) mogły wypełniać swoje obowiązki regulacyjne, zwłaszcza w ramach standardu PCI-DSS lub jednej z jego uproszczonych wersji, takich jak SAQ-A.

Zgoda na publikację

Wyraźnie upoważniamy firmę TouchWeb SAS do publikowania na jej oficjalnej stronie informacji o poprawionych lukach w naszych modułach, zgodnie ze zobowiązaniami Karty Odpowiedzialnego Cyberbezpieczeństwa.

Publikacja może obejmować:

• Identyfikator CVE powiązany z luką.
• Biuletyn bezpieczeństwa jasno opisujący problem i jego rozwiązanie.
• Dotknięte wersje oraz wersję zawierającą poprawkę.
• Łatwą do zastosowania łatę, gdy aktualizacja jest trudna do wdrożenia.
• Wszelkie przydatne informacje pomagające użytkownikom i agencjom szybko się zabezpieczyć.

Ujawnienie

Poniżej znajduje się lista znanych i naprawionych luk w zabezpieczeniach: