Política de divulgação de vulnerabilidades
Última atualização: 5 de setembro de 2019
O Kraken Security Labs realiza regularmente pesquisas sobre a segurança de aplicativos, hardware e produtos de uso comum. Essas pesquisas têm o objetivo de orientar e proteger os usuários finais desses serviços e produtos. Esta política descreve como o Kraken Security Labs conduz a divulgação responsável de vulnerabilidades quando identificamos falhas de segurança em produtos e serviços de terceiros.
O Kraken Security Labs notificará o fornecedor apropriado sobre falhas de segurança em seu(s) produto(s) e/ou serviço(s). A primeira tentativa de contato ocorrerá por meio dos canais apropriados ou mecanismos formais listados no site do fornecedor. Caso essas informações de contato não estejam disponíveis, o Kraken Security Labs envidará seus melhores esforços para localizar um meio de contato adequado. Uma vez identificado um mecanismo formal ou apropriado, as informações pertinentes sobre a vulnerabilidade serão transmitidas ao fornecedor de forma segura.
Caso o fornecedor não confirme o recebimento da notificação inicial no prazo de cinco (5) dias úteis, o Kraken Security Labs realizará uma segunda tentativa de contato. Se o Kraken Security Labs esgotar todos os meios acima para contatar o fornecedor, poderá emitir um comunicado público divulgando suas conclusões quinze (15) dias úteis após a tentativa de contato inicial.
Caso o fornecedor responda dentro do prazo indicado acima, o Kraken Security Labs solicitará que ele especifique o prazo desejado para correção. O Kraken Security Labs concederá ao fornecedor até noventa (90) dias corridos para solucionar a vulnerabilidade por meio de um patch. Ao término do prazo ou antes dele (se notificado pelo fornecedor), se a vulnerabilidade tiver sido corrigida, ou se o fornecedor não responder ou não apresentar uma justificativa razoável para a não correção, o Kraken Security Labs publicará um comunicado de acesso público com recomendações de mitigação, visando proteger os usuários finais.
O Kraken Security Labs envidará todos os esforços para colaborar com os fornecedores, garantindo que compreendam os detalhes técnicos e a gravidade de uma falha de segurança reportada. Se um fornecedor não puder, ou optar por não corrigir determinada falha de segurança, o Kraken Security Labs poderá se oferecer para trabalhar com esse fornecedor na divulgação pública da falha, acompanhada de soluções alternativas eficazes.
Caso o Kraken Security considere apropriado alertar imediatamente o público geral sobre uma vulnerabilidade, em razão do risco ou da segurança do usuário final de um produto ou serviço, o Kraken Security Labs comunicará simultaneamente suas conclusões ao fornecedor e ao público geral. Na comunicação ao fornecedor, o Kraken Security Labs indicará os fatores considerados na decisão de publicar imediatamente suas conclusões.