Zásady oznamování zranitelností

Poslední aktualizace: 5. září 2019

Kraken Security Labs pravidelně zkoumá bezpečnost běžně používaných aplikací, hardwaru a produktů. Cílem výzkumu je vzdělávat a chránit koncové uživatele těchto služeb a produktů. Tato zásada popisuje, jak Kraken Security Labs postupuje při odpovědném oznamování zranitelností, které objevíme v produktech a službách třetích stran.

Kraken Security Labs informuje příslušného dodavatele o bezpečnostní chybě v jeho produktu/produktech nebo službě/službách. První pokus o kontakt proběhne prostřednictvím vhodných kontaktů nebo formálních mechanismů uvedených na webových stránkách dodavatele. Pokud takové kontaktní informace nejsou zveřejněny, Kraken Security Labs vyvine maximální úsilí k nalezení vhodného způsobu kontaktu. Jakmile je formální nebo vhodný kontaktní mechanismus nalezen, předají se dodavateli relevantní informace o zranitelnosti bezpečným způsobem.

Pokud dodavatel nepotvrdí přijetí prvotního oznámení do pěti (5) pracovních dnů, Kraken Security Labs kontaktuje dodavatele podruhé. Pokud Kraken Security Labs vyčerpá všechny výše uvedené způsoby kontaktování dodavatele, může patnáct (15) pracovních dnů po prvním pokusu o kontakt vydat veřejné upozornění, v němž svá zjištění zveřejní.

Pokud dodavatel odpoví ve výše uvedené lhůtě, Kraken Security Labs jej požádá o stanovení požadovaného termínu pro nápravu. Kraken Security Labs dodavateli poskytne až devadesát (90) kalendářních dnů na odstranění zranitelnosti prostřednictvím opravy. Po uplynutí této lhůty nebo dříve (pokud to dodavatel oznámí) Kraken Security Labs zveřejní veřejně dostupné upozornění včetně doporučení ke zmírnění rizik s cílem chránit koncové uživatele, a to v případě, že byla zranitelnost opravena, nebo pokud dodavatel nereaguje či není schopen poskytnout přiměřené vysvětlení, proč zranitelnost není odstraněna.

Kraken Security Labs vyvine maximální úsilí ke spolupráci s dodavateli, aby porozuměli technickým detailům a závažnosti oznámené bezpečnostní chyby. Pokud dodavatel produktu nemůže nebo nechce konkrétní bezpečnostní chybu opravit, může Kraken Security Labs nabídnout spolupráci na veřejném oznámení chyby spolu s účinnými náhradními řešeními.

V případě, že Kraken Security považuje za vhodné okamžitě upozornit veřejnost na zranitelnost z důvodu rizika nebo bezpečnosti koncového uživatele produktu či služby, uvědomí Kraken Security Labs o svých zjištěních současně dodavatele i veřejnost. Ve sdělení dodavateli Kraken Security Labs uvede faktory, které vedly k rozhodnutí okamžitě zveřejnit svá zjištění.