Policy för sårbarhetsavslöjande

Senast uppdaterad: 5 sep 2019

Kraken Security Labs bedriver löpande forskning om säkerheten i vanligt förekommande applikationer, hårdvara och produkter. Forskningen syftar till att informera och skydda slutanvändarna av sådana tjänster och produkter. Den här policyn beskriver hur Kraken Security Labs hanterar ansvarsfull upplysning om sårbarheter när vi upptäcker säkerhetsbrister i tredjepartsprodukter och -tjänster.

Kraken Security Labs meddelar berörd leverantör om säkerhetsbrister i deras produkter och/eller tjänster. Det första kontaktförsöket sker via de kontaktvägar eller formella mekanismer som anges på leverantörens webbplats. Om sådan kontaktinformation inte finns publicerad gör Kraken Security Labs sitt yttersta för att hitta en lämplig kontaktväg. När en formell eller lämplig kontaktväg har hittats överförs relevant information om sårbarheten säkert till leverantören.

Om leverantören inte bekräftar det första meddelandet inom fem (5) arbetsdagar tar Kraken Security Labs en andra kontakt med leverantören. Om Kraken Security Labs har uttömt samtliga ovanstående kontaktvägar kan Kraken Security Labs publicera en offentlig rapport med sina iakttagelser femton (15) arbetsdagar efter det första kontaktförsöket.

Om ett svar från leverantören inkommer inom den tidsram som anges ovan ber Kraken Security Labs leverantören att ange önskad tidsram för åtgärd. Kraken Security Labs ger leverantören upp till nittio (90) kalenderdagar att åtgärda sårbarheten med en patch. Vid tidsfristens slut eller tidigare (om leverantören meddelar det), om sårbarheten har åtgärdats, eller om leverantören inte svarar eller inte kan ge en rimlig förklaring till varför sårbarheten inte är åtgärdad, publicerar Kraken Security Labs en offentligt tillgänglig rapport med rekommendationer för att begränsa risken, i syfte att skydda slutanvändarna.

Kraken Security Labs gör sitt yttersta för att samarbeta med leverantörer så att de förstår de tekniska detaljerna och allvarlighetsgraden i en rapporterad säkerhetsbrist. Om en produktleverantör inte kan, eller väljer att inte, åtgärda en viss säkerhetsbrist kan Kraken Security Labs erbjuda sig att samarbeta med leverantören för att offentliggöra bristen tillsammans med effektiva kringgående lösningar.

I de fall Kraken Security anser det lämpligt att omedelbart varna allmänheten om en sårbarhet på grund av risken eller säkerheten för slutanvändaren av en produkt eller tjänst ska Kraken Security Labs samtidigt informera leverantören och allmänheten om sina iakttagelser. I kommunikationen till leverantören ska Kraken Security Labs ange de faktorer som legat till grund för beslutet att omedelbart publicera sina iakttagelser.