Securitate
Această politică este disponibilă și în limba engleză.
Ea acoperă tot ce publică sau operează InfraInbox: serverul InfraInbox și panoul de control web, watcher-ul, aplicația pentru iPhone, releul de notificări (push.infrainbox.app), InfraInbox Cloud (dash.infrainbox.app), modulul infrainbox-push, contractele API și SDK-urile, precum și site-ul infrainbox.app.
Raportați o vulnerabilitate
Vă rugăm să raportați în privat. Nu deschideți un issue, o discuție sau un pull request public.
- GitHub (preferat): „Report a vulnerability” din fila Security a github.com/infrainbox/infrainbox. Raportarea este privată și o puteți folosi pentru orice produs InfraInbox, inclusiv aplicația, releul și Cloud.
- E-mail: contact@innovasoftware.ro, dacă nu puteți folosi GitHub.
Spuneți-ne ce ați găsit și de ce contează, cum se reproduce (sau o dovadă de concept), produsul și versiunea ori adresa URL și dacă știți că cineva exploatează vulnerabilitatea. Scrieți în limba română sau engleză. Dacă doriți să fiți menționat, spuneți-ne ce nume sau pseudonim să folosim.
Nu avem un program de recompense plătite. Menționăm autorul fiecărui raport valid în buletinul de securitate, cu excepția cazului în care ne cereți să nu o facem.
La ce să vă așteptați
| Pas | Când |
|---|---|
| Confirmăm primirea raportului | în 3 zile lucrătoare |
| Vă spunem dacă îl acceptăm și cât de grav îl considerăm (CVSS) | în 10 zile lucrătoare |
| Publicăm o remediere sau o măsură de atenuare | critic: 7 zile · ridicat: 30 de zile · mediu: 90 de zile · scăzut: într-o versiune obișnuită |
| Vă ținem la curent | cel puțin o dată la 14 zile, până la remediere |
Dacă o vulnerabilitate este exploatată, o remediem sau o atenuăm mai întâi și publicăm informațiile de îndată ce utilizatorii pot acționa.
Despre autorități. Dreptul Uniunii ne obligă să notificăm Directoratul Național de Securitate Cibernetică (DNSC), echipa CSIRT națională a României, și ENISA în 24 de ore de la momentul în care aflăm că o vulnerabilitate din produsele noastre este exploatată în mod activ (Regulamentul privind reziliența cibernetică, Regulamentul (UE) 2024/2847, art. 14). Un raport în sine, fără dovezi de exploatare, nu declanșează această obligație. Dacă ea se aplică, transmitem doar ce cere notificarea și vă informăm.
Dezvăluirea
- Publicăm un buletin de securitate odată cu remedierea și vă menționăm.
- Vă rugăm să păstrați detaliile confidențiale până atunci sau timp de 90 de zile de la raportare, oricare dintre acestea survine prima. Putem conveni o altă dată dacă remedierea durează mai mult sau dacă utilizatorii au nevoie de timp să actualizeze înainte.
- Pentru server, watcher și
infrainbox-push, buletinele sunt GitHub Security Advisories în depozitul respectiv și solicităm prin GitHub un identificator CVE pentru fiecare vulnerabilitate care cere o acțiune din partea utilizatorilor. Pentru aplicație, releu și Cloud, buletinele sunt publicate la {{ADVISORIES_URL}}. Când utilizatorii Cloud sau ai releului nu trebuie să facă nimic, buletinul spune acest lucru. - Fiecare buletin spune ce versiuni sunt afectate, cât de gravă este problema și ce trebuie făcut.
Cum aflați despre remedierile de securitate
- GitHub Security Advisories în depozit (folosiți „Watch › Security alerts”).
- Fluxul de versiuni: {{RELEASE_FEED_URL}}.
- Dacă ați activat verificarea actualizărilor la configurarea serverului, un mesaj „Security update available” în panoul de control. Verificarea nu trimite nimic despre serverul dumneavoastră.
- Utilizatorii Cloud: un e-mail pentru orice afectează contul lor.
Versiuni susținute
| Componentă | Primește remedieri de securitate | Cum le obțineți |
|---|---|---|
| Server și watcher | Cea mai nouă versiune, plus versiunea minoră anterioară timp de 3 luni după o nouă versiune minoră (12 luni dacă noua versiune minoră ridică o cerință, cum ar fi versiunea PostgreSQL) | Actualizați la cea mai nouă versiune de remediere. Actualizarea este gratuită și nu necesită niciodată hardware nou sau o componentă plătită |
| Aplicația pentru iPhone | Cea mai nouă versiune din App Store | Actualizare din App Store. Creștem versiunea minimă de iOS doar pentru a renunța la versiunile pe care Apple nu le mai actualizează |
| Releul de notificări și Cloud | Întotdeauna versiunea care rulează | Le actualizăm noi; nu trebuie să faceți nimic |
Perioada de asistență
Tratăm vulnerabilitățile de securitate din fiecare versiune InfraInbox timp de cel puțin cinci ani de la data publicării ei. Pentru o versiune susținută, primim și investigăm rapoartele de vulnerabilitate, precizăm în fiecare buletin dacă versiunea este afectată și furnizăm remedierea prin calea de actualizare de mai sus. Versiunile vechi rămân disponibile pentru descărcare cel puțin 10 ani, marcate ca nesusținute.
| Produs | Versiune | Publicată | Sfârșitul asistenței |
|---|---|---|---|
| Server | 0.1 | {{RELEASE_DATE}} | {{END_OF_SUPPORT}} |
| Watcher | 0.1 | {{RELEASE_DATE}} | {{END_OF_SUPPORT}} |
| Aplicația pentru iPhone | 1.0 | {{RELEASE_DATE}} | {{END_OF_SUPPORT}} |
Protecție pentru cercetarea de bună-credință
Dacă cercetați și raportați cu bună-credință conform acestei politici, considerăm cercetarea autorizată. Nu vom introduce o acțiune în justiție împotriva dumneavoastră și nu vom cere altcuiva să o facă, iar dacă altcineva o face, vom declara că ați acționat conform acestei politici.
Bună-credință înseamnă că:
- testați doar propriul InfraInbox găzduit de dumneavoastră sau propriul cont și spațiu de lucru Cloud;
- vă opriți imediat ce ajungeți la date care nu vă aparțin, ne anunțați și nu le păstrați, nu le împărtășiți și nu le folosiți;
- nu degradați serviciul pentru alții: fără atacuri de tip refuz al serviciului, fără spam și cel mult 5 cereri pe secundă către Cloud sau releu;
- nu folosiți phishing sau inginerie socială împotriva echipei sau utilizatorilor noștri și nu testați securitatea fizică;
- ne lăsați un timp rezonabil pentru remediere înainte de dezvăluire.
Această protecție nu îi poate obliga pe terți, cum ar fi Apple, GitHub sau furnizorul nostru de găzduire, și nu înlătură aplicarea legii. Dacă nu sunteți sigur că ceva este permis, întrebați-ne mai întâi la contact@innovasoftware.ro.
În afara domeniului
- atacurile de tip refuz al serviciului și atacurile volumetrice;
- problemele privind limitele de rată sau spamul fără impact asupra securității;
- antetele lipsă sau setările TLS fără un atac funcțional;
- self-XSS și clickjacking pe pagini fără acțiuni sensibile;
- rapoartele generate de scanere automate fără o dovadă de concept;
- atacurile care necesită un dispozitiv, un server sau un cont deja compromis;
- vulnerabilitățile din serviciile terților pe care le folosim (Apple, Telegram, Slack etc.): raportați-le acestora și spuneți-ne dacă InfraInbox agravează problema.
InfraInbox este dezvoltat de INNOVA SOFTWARE S.R.L., România · CUI 45402130 · Registrul comerțului J30/1284/2021 · informații legale.