Retningslinjer for avsløring av sårbarhet

Sist oppdatert: 5. september 2019

Kraken Security Labs forsker jevnlig på sikkerheten i mye brukte applikasjoner, maskinvare og produkter. Hensikten er å opplyse og beskytte sluttbrukerne av disse tjenestene og produktene. Denne retningslinjen beskriver hvordan Kraken Security Labs håndterer ansvarlig offentliggjøring av sårbarheter når vi oppdager sikkerhetssårbarheter i tredjeparters produkter og tjenester.

Kraken Security Labs varsler den aktuelle leverandøren om en sikkerhetssvakhet i produktet eller tjenesten deres. Første kontaktforsøk skjer gjennom relevante kontaktpunkter eller formelle kanaler som er oppgitt på leverandørens nettsted. Dersom slik kontaktinformasjon ikke er publisert, vil Kraken Security Labs gjøre sitt beste for å finne en egnet kontaktkanal. Når en formell eller egnet kontaktkanal er funnet, overføres relevant informasjon om sårbarheten sikkert til leverandøren.

Dersom leverandøren ikke bekrefter mottak av det første varselet innen fem (5) virkedager, tar Kraken Security Labs kontakt med leverandøren på nytt. Hvis Kraken Security Labs har uttømt alle de nevnte kontaktmulighetene, kan Kraken Security Labs publisere en offentlig varsling med funnene femten (15) virkedager etter første kontaktforsøk.

Dersom leverandøren svarer innen fristen beskrevet ovenfor, ber Kraken Security Labs leverandøren oppgi ønsket tidsramme for utbedring. Kraken Security Labs gir leverandøren inntil nitti (90) kalenderdager til å utbedre sårbarheten med en oppdatering. Ved utløpet av fristen eller tidligere (dersom leverandøren varsler om det), dersom sårbarheten er utbedret, eller dersom leverandøren ikke svarer eller ikke kan gi en rimelig forklaring på hvorfor sårbarheten ikke er utbedret, vil Kraken Security Labs publisere en offentlig tilgjengelig varsling med anbefalinger om tiltak for å beskytte sluttbrukerne.

Kraken Security Labs vil gjøre sitt ytterste for å samarbeide med leverandører slik at de forstår de tekniske detaljene og alvorlighetsgraden ved en rapportert sikkerhetssvakhet. Dersom en produktleverandør ikke kan, eller velger å ikke, utbedre en bestemt sikkerhetssvakhet, kan Kraken Security Labs tilby å samarbeide med leverandøren om å offentliggjøre svakheten sammen med noen effektive midlertidige løsninger.

Dersom Kraken Security vurderer at det er nødvendig å varsle offentligheten umiddelbart om en sårbarhet på grunn av risiko eller sikkerhet for sluttbrukeren av et produkt eller en tjeneste, skal Kraken Security Labs samtidig informere leverandøren og offentligheten om funnene. I kommunikasjonen med leverandøren skal Kraken Security Labs liste opp faktorene som lå til grunn for beslutningen om å publisere funnene umiddelbart.