Richtlinie zur Offenlegung von Schwachstellen

Aktualisiert: 3. Dezember 2021

Du hast eine Schwachstelle gefunden? Sag uns Bescheid, damit wir sie beheben können.

Einführung

Wir bemühen uns, einwandfreien und fehlerfreien Code zu schreiben, aber wie jeder Softwareentwickler weiß, ist das in den meisten Fällen nicht möglich. Genau deshalb gibt es dieses Programm zur Offenlegung von Schwachstellen. Das folgende Dokument beschreibt die Regeln unseres Programms, was du testen solltest und welche Art von Tests du vermeiden solltest. Außerdem erfährst du, wie du Probleme meldest und welche Belohnungen es dafür gibt.

Regeln

Die Regeln sind einfach:

Benachrichtige uns so schnell wie möglich, nachdem du ein tatsächliches oder potenzielles Sicherheitsproblem entdeckt hast.
Tu alles, um Verletzungen der Privatsphäre, eine Verschlechterung der Nutzererfahrung, Störungen von Produktivsystemen sowie die Zerstörung oder Manipulation von Daten zu vermeiden.
Setze Exploits nur in dem Maße ein, das nötig ist, um das Vorhandensein einer Schwachstelle zu bestätigen.
Gib uns eine angemessene Frist, um das Problem zu beheben, bevor du es öffentlich machst.
Reiche nicht eine große Menge an Berichten von geringer Qualität ein.

Geltungsbereich

Der Geltungsbereich dieses Programms umfasst Folgendes:

Website - windscribe.com
API - api.windscribe.com
VPN-Endpunkte
Windows-App
MacOS-App
Android-App
iOS-App
Chrome-Erweiterung
Firefox-Erweiterung

Was du vermeiden solltest

Vermeide bei der Fehlersuche bitte Folgendes:

DDoS-Angriffe auf unsere Infrastruktur
Brute Forcing
Social Engineering
Das Exfiltrieren großer Datenmengen

Unsere Reaktion

Nachdem du einen Bericht eingereicht hast, kannst du innerhalb von 48 Std. mit einer Antwort von uns rechnen, meist aber deutlich schneller. Wir versuchen, das Problem nachzustellen und so schnell wie möglich einen Fix bereitzustellen. In den meisten Fällen geht das ziemlich zügig, aber bei Schwachstellen auf Anwendungsebene, die ein Update erfordern, kann es länger dauern. Das sollte sich von selbst verstehen, aber wir sagen es trotzdem: Wir verklagen dich nicht, wenn du uns Probleme offenlegst.

Bug-Bounty

Wenn dein Bericht verifiziert und als Problem eingestuft wird, hast du Anspruch auf eine Belohnung für deine Mühe. Der genaue Betrag hängt allein vom Schweregrad des Problems ab, den wir festlegen. In der Vergangenheit haben wir zwischen 100 und 5.000 $ für offengelegte Schwachstellen ausgezahlt.

Melden

Um ein Problem offenzulegen, schreib uns bitte an security (AT) windscribe.com. Unseren PGP-Schlüssel findest du hier. Beschreibe es so ausführlich wie möglich und gib die genauen Schritte zur Reproduktion des Problems an.

Offenlegung von Schwachstellen

Falls ein kritisches Problem mit weitreichenden Auswirkungen entdeckt wird, benachrichtigen wir alle betroffenen Nutzer über 4 Kommunikationskanäle: Benachrichtigungen in unseren Apps, E-Mail (sofern bei der Registrierung angegeben), Twitter und Reddit. Eine vollständige Aufschlüsselung des Problems und der Lösung wird in unserem Blog veröffentlicht. Beispiel für eine freiwillige Offenlegung.