Polityka skoordynowanego ujawniania luk w zabezpieczeniach
Nasze zobowiązanie
AuthenTrend poważnie traktuje bezpieczeństwo swoich produktów. Z zadowoleniem przyjmujemy zgłoszenia od badaczy bezpieczeństwa, klientów i opinii publicznej dotyczące potencjalnych luk w naszych produktach (tzw. ATKey seria sprzętowych kluczy bezpieczeństwa i powiązane oprogramowanie). Niniejsza polityka wyjaśnia, jak zgłosić nam lukę w zabezpieczeniach i czego można się spodziewać w zamian.
Jak zgłosić lukę w zabezpieczeniach
Proszę o przesyłanie raportów na adres security@authentrend.com.
Abyśmy mogli szybko ocenić i rozwiązać problem, prosimy o podanie, jeśli to możliwe, następujących informacji:
Dotknięty produkt, model i wersja oprogramowania sprzętowego/oprogramowania
Opis podatności i jej potencjalnego wpływu
Kroki odtworzenia, dowód koncepcji lub szczegóły konfiguracji
Twoje dane kontaktowe, abyśmy mogli się z Tobą skontaktować
Akceptowane są raporty w języku angielskim lub chińskim tradycyjnym.
Jeśli Twój raport zawiera szczegóły, których nie chcesz wysyłać zwykłą pocztą e-mail, napisz o tym w pierwszej wiadomości, a my uzgodnimy z Tobą bezpieczny kanał komunikacji, zanim je udostępnisz.
Czego możesz od nas oczekiwać
Potwierdzenie — staramy się potwierdzić otrzymanie Twojego zgłoszenia w ciągu 3 dni roboczych.
Ocena wstępna i, w stosownych przypadkach, prośbę o dalsze informacje.
Regularne aktualizacje o naszych postępach w dążeniu do rozwiązania.
Kredyt do Twojego odkrycia po rozwiązaniu problemu, jeśli chcesz ujawnić swoje nazwisko.
Sprawozdawczość regulacyjna
W przypadku stwierdzenia, że zgłoszona luka jest aktywnie wykorzystywana lub że dotyczy poważnego incydentu bezpieczeństwa, AuthenTrend ma obowiązek raportowania do odpowiednich organów UE zgodnie z artykułem 14 unijnej ustawy o cyberodporności (rozporządzenie (UE) 2024/2847). W takich przypadkach powiadomimy wyznaczone CSIRT i agencję ENISA w ustawowych terminach oraz poinformujemy użytkowników, których to dotyczy.
Poinformujemy Cię, jeśli Twoje zgłoszenie uruchomi ten proces. Powiadomienia regulacyjne nie identyfikują Cię jako osoby zgłaszającej, chyba że poprosisz o podanie nazwiska i wcześniej się z Tobą na to zgodzimy.
Nasze zobowiązanie wobec Ciebie
Nie będziemy podejmować ani wspierać działań prawnych przeciwko badaczom, którzy:
Działać w dobrej wierze i zgodnie z niniejszą polityką;
Unikaj naruszeń prywatności, przerw w świadczeniu usług oraz niszczenia lub eksfiltracji danych;
Daj nam rozsądny czas na zbadanie sprawy i podjęcie działań naprawczych przed jakimkolwiek ujawnieniem publicznym;
Nie wykorzystuj tej luki w stopniu większym niż konieczny do jej wykazania.
Zakres
W zakresie
ATKey klucze bezpieczeństwa sprzętowego (wszystkie modele), które posiadasz — w tym testy fizyczne, inwazyjne i testy kanału bocznego
AuthenTrend oprogramowanie sprzętowe, oprogramowanie i aplikacje mobilne lub stacjonarne
AuthenTrend usługi sieciowe, testowane wyłącznie na Twoim koncie i Twoich danych
Poza zakresem
Systemy, urządzenia, konta lub dane należące do innych stron
Testy odporności na odmowę usługi, obciążenia lub obciążenia naszych usług
Produkty i usługi stron trzecich, które AuthenTrend nie działa, w tym wdrożenia klientów i dostawcy tożsamości, którzy integrują się z naszymi produktami
Jeśli nie masz pewności, czy coś mieści się w zakresie prac, skontaktuj się z nami przed rozpoczęciem, a udzielimy Ci odpowiedzi.
Skoordynowane ujawnianie informacji
Prosimy o zachowanie poufności szczegółów wszelkich luk w zabezpieczeniach do czasu opublikowania przez nas poprawki lub uzgodnienia z Państwem harmonogramu ich ujawnienia. Staramy się niezwłocznie usuwać istotne luki w zabezpieczeniach i w razie potrzeby będziemy koordynować z Państwem publiczne ujawnienie informacji.
Kontakt: security@authentrend.com
AuthenTrend Technology Inc. — 12F.-2, No. 66, Sanchong Rd., Nangang Dist., Tajpej 115, Tajwan