Rapportér sårbarhed

Revideret 28. marts 2022

Sikkerheden på sikkerpånettet.dk er meget vigtig. Trods den omhu, vi har udvist, kan det stadig ske, at der findes en sårbarhed.

Har du fundet en sikkerhedsfejl på sikkerpånettet.dk? Du er måske ved et uheld stødt på en under den normale drift af dette websted, eller måske har du aktivt forsøgt at finde en sårbarhed. I begge tilfælde bedes du give os besked, så vi kan handle hurtigst muligt.

Forresten er dette ikke en invitation til at scanne og teste sikkerpånettet.dk grundigt for svagheder. Vi gør det selv.

Vi vil gerne samarbejde med dig om yderligere sikkerhedsforbedringer på sikkerpånettet.dk. Vi vil altid tage dine rapporter alvorligt, når de er i overensstemmelse med vores politik om koordineret sårbarhedsoffentliggørelse og vil undersøge eventuelle mistænkte forhold.

I vores følgende politik om koordineret sårbarhedsoffentliggørelse forklarer vi, hvad vi beder dig om, og hvad vi lover, når du rapporterer en sårbarhed til os.

Vi beder dig om at:

• sende dine resultater til os via e-mail eller via en GitHub-sikkerhedsadvisering hurtigst muligt;
• hvis du sender en e-mail, skal du helst kryptere din e-mail med vores PGP-nøgle;
• give tilstrækkelige oplysninger til at replikere problemet, så vi kan løse det så hurtigt som muligt; IP-adressen eller URL'en er generelt tilstrækkelig, sammen med en beskrivelse af sårbarheden, men for mere komplekse sårbarheder kan vi have brug for flere oplysninger;
• ikke køre tests, der angriber via fysisk sikkerhed, social engineering eller tredjepartsapplikationer;
• ikke køre brute force- eller denial of service-angreb;
• ikke udnytte sårbarheden til f.eks. at ændre eller slette data eller installere malware;
• ikke dele problemet med andre, før vi har løst det;
• ikke kopiere data fra vores systemer, udover hvad der er absolut nødvendigt for at demonstrere lækagen;
• efterlad dine kontaktoplysninger (e-mailadresse og telefonnummer), så vi kan komme i kontakt med dig og samarbejde med dig om at løse problemet.

Vi lover:

• at svare på din anmeldelse inden for tre hverdage med en evaluering af din rapport og en forventet dato for en løsning;
• at behandle din rapport fortroligt: ​​Vi deler ikke dine personlige oplysninger uden dit samtykke, undtagen med politiet og retsvæsenet, hvis der foretages en politianmeldelse, eller hvis disse oplysninger er lovpligtige;
• at holde dig informeret om vores fremskridt med at løse problemet;
• at inkludere dit navn som opdageren af ​​sårbarheden i eventuelle nyhedsrapporter, hvis du ønsker det;
• at en utilsigtet opdagelse af en sårbarhed ikke vil føre til juridiske anklager mod dig, så længe du følger reglerne og handler i ånden af ​​ koordineret sårbarhedsoffentliggørelse;

Undtagelser:

Da vores tid er knap, beder vi dig om:

• at ikke rapportere trivielle fund, hvor der ikke er kendte udnyttelser og/eller hvor der ikke er nogen reel risiko involveret;
• at ikke blindt rapportere fund fra automatiserede sårbarhedsscanningsværktøjer. Kopier ikke fundene i en e-mail, men tag dig først lidt tid til at forstå vores hjemmesides natur, før du rapporterer noget;
• at indse, at vores værktøjer er open source og tilgængelige til genbrug. Vi kan ikke holdes ansvarlige for implementeringer foretaget af andre.

Nedenfor er nogle eksempler på fund, som du ikke bør rapportere. Hvis du gør det, skal du være opmærksom på, at vi ikke belønner disse rapporter, og vi svarer muligvis ikke på din e-mail.

• Sårbarheder vedrørende andre domæner end sikkerpånettet.dk;
• Afsløring af headeroplysninger;
• SSRF-sårbarhed (dette er ikke en sårbarhed, men en tilsigtet funktionalitet, der er nødvendig for, at sikkerpånettet.dk fungerer korrekt);
• Offentligt tilgængelige filer eller mapper med ikke-følsomme oplysninger (som robots.txt eller billeder);
• Manglende standarder, som ikke promoveres af sikkerpånettet.dk (som MTA-STS);
• Påståede afvigelser, der overholder den teststandard, som sikkerpånettet.dk selv bruger (som for en bestemt sikkerhedsheader).