Politik om afsløring af sårbarheder

Senest opdateret: 5. september 2019

Kraken Security Labs udfører løbende research i sikkerheden af almindeligt anvendte applikationer, hardware og produkter. Formålet med vores research er at oplyse og beskytte slutbrugerne af sådanne tjenester og produkter. Denne politik beskriver, hvordan Kraken Security Labs håndterer ansvarlig offentliggørelse af sårbarheder, når vi opdager sikkerhedssårbarheder i tredjepartsprodukter og -tjenester.

Kraken Security Labs underretter den relevante leverandør om en sikkerhedsbrist i leverandørens produkt(er) og/eller tjeneste(r). Det første forsøg på kontakt sker via relevante kontaktoplysninger eller formelle mekanismer, der er angivet på leverandørens hjemmeside. Hvis sådanne kontaktoplysninger ikke er offentliggjort, gør Kraken Security Labs sit bedste for at finde en passende kontaktvej. Når en formel eller passende kontaktmekanisme er fundet, sendes de relevante oplysninger om sårbarheden sikkert til leverandøren.

Hvis leverandøren ikke bekræfter den første underretning inden for fem (5) arbejdsdage, kontakter Kraken Security Labs leverandøren igen. Hvis Kraken Security Labs udtømmer alle ovenstående muligheder for at kontakte leverandøren, kan Kraken Security Labs udsende en offentlig meddelelse med sine resultater femten (15) arbejdsdage efter det første kontaktforsøg.

Hvis der modtages et svar fra leverandøren inden for den ovenfor beskrevne tidsramme, anmoder Kraken Security Labs leverandøren om at angive en ønsket tidsramme for udbedring. Kraken Security Labs giver leverandøren op til halvfems (90) kalenderdage til at afhjælpe sårbarheden med en patch. Ved fristens udløb eller tidligere (hvis leverandøren meddeler det), hvis sårbarheden er blevet patchet, eller hvis leverandøren ikke reagerer eller ikke kan give en rimelig forklaring på, hvorfor sårbarheden ikke er rettet, offentliggør Kraken Security Labs en offentligt tilgængelig meddelelse med anbefalinger til afhjælpning for at beskytte slutbrugerne.

Kraken Security Labs gør sit yderste for at samarbejde med leverandører og sikre, at de forstår de tekniske detaljer og alvoren af en indberettet sikkerhedsbrist. Hvis en produktleverandør ikke kan eller vælger ikke at patche en bestemt sikkerhedsbrist, kan Kraken Security Labs tilbyde at samarbejde med leverandøren om at offentliggøre bristen sammen med effektive løsningsforslag.

Hvis Kraken Security vurderer, at det er hensigtsmæssigt straks at advare offentligheden om en sårbarhed på grund af risikoen eller sikkerheden for slutbrugeren af et produkt eller en tjeneste, underretter Kraken Security Labs samtidig leverandøren og offentligheden om sine resultater. I kommunikationen til leverandøren angiver Kraken Security Labs de faktorer, der ligger til grund for beslutningen om straks at offentliggøre sine resultater.