Beleid inzake openbaarmaking van kwetsbaarheden

Laatst bijgewerkt: 05-09-2019

Kraken Security Labs doet regelmatig onderzoek naar de beveiliging van veelgebruikte applicaties, hardware en producten. Dit onderzoek is bedoeld om eindgebruikers van dergelijke diensten en producten te informeren en te beschermen. Dit beleid beschrijft hoe Kraken Security Labs omgaat met verantwoorde openbaarmaking van kwetsbaarheden wanneer we beveiligingslekken aantreffen in producten en diensten van derden.

Kraken Security Labs stelt de betreffende leverancier op de hoogte van een beveiligingslek in diens product(en) en/of dienst(en). De eerste contactpoging verloopt via de daarvoor bestemde contactpersonen of formele kanalen die op de website van de leverancier worden vermeld. Als dergelijke contactinformatie niet beschikbaar is, doet Kraken Security Labs zijn uiterste best om een geschikt contactkanaal te vinden. Zodra een formeel of passend contactkanaal is gevonden, wordt de relevante informatie over de kwetsbaarheid veilig aan de leverancier overgedragen.

Als de leverancier de eerste melding niet binnen vijf (5) werkdagen bevestigt, neemt Kraken Security Labs opnieuw contact op. Als Kraken Security Labs alle bovenstaande middelen heeft uitgeput om de leverancier te bereiken, kan Kraken Security Labs vijftien (15) werkdagen na de eerste contactpoging een openbare advisory publiceren waarin de bevindingen worden bekendgemaakt.

Als er binnen de hierboven genoemde termijn een reactie van de leverancier wordt ontvangen, verzoekt Kraken Security Labs de leverancier een gewenste termijn voor het verhelpen van het probleem op te geven. Kraken Security Labs geeft de leverancier maximaal negentig (90) kalenderdagen de tijd om de kwetsbaarheid met een patch te verhelpen. Aan het einde van deze termijn of eerder (indien de leverancier dit meldt), als de kwetsbaarheid is gepatcht, of als de leverancier niet reageert of geen redelijke verklaring kan geven waarom de kwetsbaarheid niet is verholpen, publiceert Kraken Security Labs een openbaar beschikbare advisory met aanbevelingen voor risicobeperking om eindgebruikers te beschermen.

Kraken Security Labs doet er alles aan om samen met leveranciers ervoor te zorgen dat zij de technische details en de ernst van een gemeld beveiligingslek begrijpen. Als een leverancier een bepaald beveiligingslek niet kan of niet wil patchen, kan Kraken Security Labs aanbieden samen met die leverancier het lek openbaar te maken, inclusief enkele effectieve workarounds.

Als Kraken Security het passend acht om het publiek direct te waarschuwen voor een kwetsbaarheid vanwege het risico voor of de veiligheid van de eindgebruiker van een product of dienst, informeert Kraken Security Labs de leverancier en het publiek gelijktijdig over de bevindingen. In de communicatie naar de leverancier vermeldt Kraken Security Labs de factoren die zijn meegewogen in het besluit om de bevindingen direct te publiceren.