Rapportera en sårbarhet

Har ni hittat en sårbarhet i sslbrain, sslbrain Cloud (EU), sslbrain.com eller FairSSL:s licens- och uppdateringsinfrastruktur, skriv till security@sslbrain.com. Skapa inga publika issues, pull requests eller diskussioner om det.

Skriv gärna

  • den berörda versionen, commit, sidan eller det berörda API:et
  • hur det är uppsatt
  • hur felet återskapas, eller ett proof of concept
  • vad felet kan användas till
  • loggar eller skärmbilder utan känsliga data

Svarstider och publicering

Vi bekräftar mottagandet inom 5 arbetsdagar och ger en första bedömning inom 30 dagar.

Vi ber om minst 90 dagar från er första kontakt innan något publiceras. Åtgärdar vi felet kommer vi överens om ett gemensamt datum för publicering. Har det gått 90 dagar utan en åtgärd eller ett svar från oss får ni själva publicera.

Berör en sårbarhet våra kunder står den efteråt under säkerhetsmeddelanden.

Rättsligt skydd

FairSSL stämmer inte säkerhetsforskare som följer alla villkor nedan. Det gäller även licensens bestämmelser om kringgående, reverse engineering och efterlevnad (FairSSL Proprietary Source-Visible License), så länge ni bara hittar och rapporterar sårbarheter.

Villkor

  • Rapportera fyndet till security@sslbrain.com innan det publiceras.
  • Ge FairSSL minst 90 dagar från den första kontakten att undersöka och åtgärda innan ni publicerar eller berättar om fyndet.
  • Testa bara på era egna installationer eller i isolerade testmiljöer som ni själva förfogar över.
  • Testa bara så mycket som krävs för att bekräfta sårbarheten, och sluta när den är bekräftad.
  • Radera data som ni har sett under testet så snart ni inte behöver dem för att dokumentera fyndet.

Skyddet upphör vid

  • utpressning eller krav på betalning för att hålla fyndet hemligt
  • försäljning eller vidarebefordran av kunskap om sårbarheten eller exploit-kod till andra
  • publicering innan de 90 dagarna har gått, utan FairSSL:s skriftliga samtycke
  • att hämta mer data än vad som krävs för att visa sårbarheten
  • att göra en tjänst otillgänglig eller långsammare eller förstöra data hos FairSSL
  • test på andra kunders installationer eller miljöer som ni inte själva förfogar över
  • användning av fyndet, källkoden eller licensens undantag för säkerhetsbedömning för att jämföra med eller bygga en konkurrerande produkt

Bryts ett villkor gäller licensens bestämmelser fullt ut, och FairSSL kan polisanmäla saken.

Texten bygger på SECURITY.md i källkoden på github.com/sslbrain.