Richtlinie zur Meldung von Sicherheitslücken

Richtlinie zur Meldung von Sicherheitslücken
Vulnerability Disclosure Policy

Organisation: m-privacy GmbH
Security-Kontakt: support@m-privacy.de
Security Advisories: https://www.m-privacy.de/security/advisories/
Zuständiges Team: m-privacy Security Team

1. Zweck

Die m-privacy GmbH nimmt die Sicherheit ihrer Produkte und den Schutz ihrer Kunden ernst.
Diese Richtlinie beschreibt, wie Sicherheitsforscher, Kunden, Partner und andere Dritte potenzielle Sicherheitslücken in Produkten der m-privacy GmbH melden können und wie die m-privacy GmbH mit solchen Meldungen umgeht.
Unser Ziel ist eine verantwortungsvolle und koordinierte Untersuchung, Behebung und Veröffentlichung von Sicherheitslücken.

2. Geltungsbereich

Diese Richtlinie gilt für aktuell unterstützte Produkte, die von der m-privacy GmbH entwickelt und gepflegt werden.
Zum Geltungsbereich gehören insbesondere folgende Produktfamilien:

  • TightGate-Server
  • mp-Server

Nicht mehr unterstützte Produkte beziehungsweise End-of-Life-Produkte sind nicht Bestandteil dieser Richtlinie, sofern nicht ausdrücklich etwas anderes angegeben wird.
Produkte oder Komponenten anderer Hersteller fallen grundsätzlich nicht in unseren Zuständigkeitsbereich. Sollte eine Meldung eine Drittanbieterkomponente betreffen, unterstützen wir nach Möglichkeit bei der Identifikation des zuständigen Herstellers oder der zuständigen CVE Numbering Authority.

3. Meldung einer Sicherheitslücke

Potenzielle Sicherheitslücken können vertraulich an das m-privacy Security Team gemeldet werden:

E-Mail: support@m-privacy.de
Für verschlüsselte Meldungen steht ein PGP-Key zur Verfügung:
GnuPG-Key: CA191389.asc [2 KB]
Fingerprint: 6F49 E3A2 C203 CD85 81E2 1A91 2E4F 0F29 CA19 1389

Bitte übermitteln Sie nach Möglichkeit folgende Informationen:

  • betroffenes Produkt;
  • betroffene Version oder Versionen;
  • Beschreibung der Sicherheitslücke;
  • Schritte zur Reproduktion;
  • erforderliche Voraussetzungen für eine erfolgreiche Ausnutzung;
  • mögliche Auswirkungen;
  • Proof of Concept, sofern vorhanden;
  • relevante Logdateien, Screenshots oder andere technische Informationen;
  • Information darüber, ob die Sicherheitslücke bereits anderen Parteien gemeldet wurde;
  • Information darüber, ob Details bereits veröffentlicht wurden;
  • gewünschte Namensnennung bei einer späteren Veröffentlichung.

Bitte übermitteln Sie keine personenbezogenen Daten oder produktiven Kundendaten, sofern diese für die Analyse nicht zwingend erforderlich sind.

4. Unsere Reaktion auf Meldungen

Die m-privacy GmbH bemüht sich, den Eingang einer qualifizierten Sicherheitsmeldung innerhalb von zwei Werktagen zu bestätigen.
Anschließend wird das m-privacy Security Team:

  • die Meldung prüfen und triagieren;
  • die Sicherheitslücke soweit möglich reproduzieren;
  • betroffene Produkte und Versionen bestimmen;
  • bei Bedarf weitere technische Informationen anfordern;
  • den Melder über wesentliche Fortschritte informieren;
  • eine Behebung oder geeignete Mitigation koordinieren;
  • gegebenenfalls eine CVE-ID vergeben;
  • die koordinierte Veröffentlichung vorbereiten.

Die Dauer der Untersuchung und Behebung hängt insbesondere von der technischen Komplexität, den Auswirkungen und den betroffenen Produktversionen ab.

5. Coordinated Vulnerability Disclosure

Die m-privacy GmbH bevorzugt eine koordinierte Offenlegung von Sicherheitslücken.
Wir bitten Sicherheitsforscher, Informationen über eine noch nicht behobene Sicherheitslücke zunächst vertraulich zu behandeln und eine Veröffentlichung mit uns abzustimmen.
Als allgemeinen Zeitraum streben wir eine koordinierte Veröffentlichung innerhalb von 90 Tagen nach Bestätigung der Sicherheitslücke an.
Dieser Zeitraum kann in Abstimmung mit dem Melder verkürzt oder verlängert werden, insbesondere wenn:

  • eine Schwachstelle aktiv ausgenutzt wird;
  • eine frühere Veröffentlichung zum Schutz von Anwendern erforderlich ist;
  • Entwicklung, Test oder Verteilung eines Fixes zusätzliche Zeit benötigt;
  • Abhängigkeiten zu Drittanbietern bestehen;
  • mehrere Produkte oder Produktversionen betroffen sind.

6. Vergabe von CVE-IDs

Nach Anerkennung der m-privacy GmbH als CVE Numbering Authority (CNA) kann die m-privacy GmbH CVE-IDs für Sicherheitslücken innerhalb ihres genehmigten CNA-Scopes vergeben.
Der vorgesehene CNA-Scope lautet:
Vulnerabilities in supported products developed and maintained by m-privacy GmbH, including TightGate-Server and mp-Server.
Eine CVE-ID wird vergeben, wenn die Sicherheitslücke die Voraussetzungen des CVE Program erfüllt und eine öffentliche Bekanntmachung erfolgt oder vorgesehen ist.
Nicht jede Sicherheitsabweichung oder jeder Fehler erhält zwingend eine CVE-ID. Die Entscheidung erfolgt auf Grundlage der jeweils gültigen Regeln des CVE Program.

7. Veröffentlichung von Security Advisories

Security Advisories der m-privacy GmbH werden öffentlich unter folgender Adresse bereitgestellt:

https://www.m-privacy.de/security/advisories/

Security Advisories enthalten soweit relevant:

  • CVE-ID;
  • betroffenes Produkt;
  • betroffene Versionen;
  • behobene Versionen;
  • technische Beschreibung;
  • Auswirkungen;
  • Voraussetzungen für eine Ausnutzung;
  • Workaround oder Mitigation;
  • Informationen zu Updates;
  • CWE-Klassifizierung;
  • CVSS-v4.0-Bewertung;
  • Referenzen;
  • Anerkennung des Melders, sofern gewünscht.

8. Verantwortungsvolle Sicherheitsforschung

Die m-privacy GmbH begrüßt verantwortungsvolle Sicherheitsforschung, die in gutem Glauben durchgeführt wird und der Verbesserung der Sicherheit unserer Produkte dient.
Wir bitten Forschende insbesondere darum:

  • keine unnötigen Auswirkungen auf Systeme oder Nutzer zu verursachen;
  • keine Daten zu verändern oder zu löschen;
  • nicht mehr Daten abzurufen, als zur Demonstration der Schwachstelle erforderlich ist;
  • keine Sicherheitsmechanismen über das zur Untersuchung erforderliche Maß hinaus zu umgehen;
  • keine Social-Engineering-Angriffe gegen Mitarbeitende, Kunden oder Partner durchzuführen;
  • keine Denial-of-Service-Angriffe gegen produktive Systeme durchzuführen;
  • geltendes Recht zu beachten;
  • Schwachstellen zunächst vertraulich an uns zu melden.

9. Anerkennung und Credits

Auf Wunsch und mit Zustimmung des Melders nennt die m-privacy GmbH Sicherheitsforscher oder Organisationen im zugehörigen Security Advisory.
Eine Namensnennung erfolgt nur mit Zustimmung des Melders.

10. Bug Bounty

Die m-privacy GmbH betreibt derzeit kein Bug-Bounty-Programm.
Die Meldung einer Sicherheitslücke begründet daher keinen Anspruch auf eine finanzielle oder sonstige Vergütung.

11. Kontakt

m-privacy GmbH 
m-privacy Security Team

E-Mail: support@m-privacy.de
Advisories: https://www.m-privacy.de/security/advisories/