Política de divulgação de vulnerabilidades
Última atualização: 5 de setembro de 2019
A Kraken Security Labs realiza regularmente investigação sobre a segurança de aplicações, hardware e produtos de uso comum. Esta investigação visa informar e proteger os utilizadores finais desses serviços e produtos. A presente política descreve a forma como a Kraken Security Labs procede à divulgação responsável de vulnerabilidades quando identifica falhas de segurança em produtos e serviços de terceiros.
A Kraken Security Labs notificará o fornecedor adequado sobre qualquer falha de segurança detetada nos seus produtos e/ou serviços. A primeira tentativa de contacto será efetuada através dos contactos adequados ou dos mecanismos formais indicados no sítio web do fornecedor. Caso essas informações de contacto não estejam disponíveis, a Kraken Security Labs envidará os melhores esforços para identificar um meio de contacto adequado. Assim que for identificado um mecanismo formal ou adequado de contacto, as informações pertinentes sobre a vulnerabilidade serão transmitidas ao fornecedor de forma segura.
Caso o fornecedor não confirme a receção da notificação inicial no prazo de cinco (5) dias úteis, a Kraken Security Labs iniciará um segundo contacto. Esgotados todos os meios acima referidos para contactar o fornecedor, a Kraken Security Labs poderá emitir um aviso público com a divulgação das suas conclusões, quinze (15) dias úteis após a tentativa de contacto inicial.
Caso seja recebida uma resposta do fornecedor dentro do prazo acima indicado, a Kraken Security Labs solicita que este indique o prazo pretendido para a correção. A Kraken Security Labs concederá ao fornecedor um prazo máximo de noventa (90) dias de calendário para resolver a vulnerabilidade através de um patch. No final do prazo, ou antes (se o fornecedor assim o indicar), caso a vulnerabilidade tenha sido corrigida, ou caso o fornecedor não responda ou não consiga apresentar uma justificação razoável para a não correção, a Kraken Security Labs publicará um aviso de acesso público com recomendações de mitigação, no intuito de proteger os utilizadores finais.
A Kraken Security Labs envidará todos os esforços para colaborar com os fornecedores, assegurando que compreendem os pormenores técnicos e a gravidade de uma falha de segurança reportada. Caso um fornecedor não possa, ou opte por não, corrigir uma determinada falha de segurança, a Kraken Security Labs poderá propor colaborar com esse fornecedor na divulgação pública da falha, acompanhada de soluções alternativas eficazes.
Caso a Kraken Security considere adequado alertar imediatamente o público em geral sobre uma vulnerabilidade, em virtude do risco ou da segurança do utilizador final de um produto ou serviço, a Kraken Security Labs informará em simultâneo o fornecedor e o público em geral das suas conclusões. Na comunicação ao fornecedor, a Kraken Security Labs enumerará os fatores que fundamentaram a decisão de publicar de imediato as suas conclusões.