Política de divulgación de vulnerabilidades
Última actualización: 05/09/2019
Kraken Security Labs realiza de forma habitual investigaciones sobre la seguridad de aplicaciones, hardware y productos de uso común. La investigación tiene como objetivo informar y proteger a los usuarios finales de dichos servicios y productos. Esta política describe cómo Kraken Security Labs gestiona la divulgación responsable de vulnerabilidades cuando detectamos fallos de seguridad en productos y servicios de terceros.
Kraken Security Labs notificará al proveedor correspondiente cualquier fallo de seguridad detectado en sus productos o servicios. El primer intento de contacto se realizará a través de los canales adecuados o de los mecanismos formales indicados en el sitio web del proveedor. Si no se ofrece dicha información de contacto, Kraken Security Labs hará todo lo posible por localizar un medio de contacto adecuado. Una vez identificado un mecanismo de contacto formal o adecuado, la información pertinente sobre la vulnerabilidad se transmitirá al proveedor de forma segura.
Si el proveedor no acusa recibo de la notificación inicial en un plazo de cinco (5) días hábiles, Kraken Security Labs iniciará un segundo contacto. Si Kraken Security Labs agota todos los medios anteriores para contactar con el proveedor, podrá publicar un aviso público con sus conclusiones quince (15) días hábiles después del intento de contacto inicial.
Si se recibe respuesta del proveedor dentro del plazo indicado, Kraken Security Labs le pedirá que especifique el plazo deseado para la corrección. Kraken Security Labs concederá al proveedor hasta noventa (90) días naturales para solucionar la vulnerabilidad mediante un parche. Al finalizar el plazo o antes (si así lo notifica el proveedor), si la vulnerabilidad se ha corregido, o si el proveedor no responde o no es capaz de ofrecer una explicación razonable sobre por qué no se ha corregido, Kraken Security Labs publicará un aviso de acceso público con recomendaciones de mitigación para proteger a los usuarios finales.
Kraken Security Labs hará todo lo posible por colaborar con los proveedores a fin de garantizar que entiendan los detalles técnicos y la gravedad de cualquier fallo de seguridad notificado. Si un proveedor no puede o decide no aplicar un parche a un fallo de seguridad concreto, Kraken Security Labs podrá ofrecerle colaboración para divulgar públicamente el fallo junto con soluciones alternativas eficaces.
En caso de que Kraken Security considere oportuno alertar de inmediato al público general sobre una vulnerabilidad debido al riesgo o la seguridad del usuario final de un producto o servicio, Kraken Security Labs informará simultáneamente al proveedor y al público general de sus conclusiones. En la comunicación dirigida al proveedor, Kraken Security Labs enumerará los factores que han motivado la decisión de publicar sus conclusiones de forma inmediata.