Sicherheit bei KeenAuth
Ein Sicherheitsproblem gefunden? Wir möchten von Ihnen hören.
Unser Meldekanal ist immer offen. Lesen Sie, wie Sie melden, was wir von Forschenden erwarten und was Sie von uns erwarten können.
Sicherheitslücke meldenRichtlinie zur Offenlegung von Schwachstellen
[email protected]Verschlüsseln Sie vertrauliche Details mit unserem OpenPGP-Schlüssel.
Das Programm auf einen Blick
Was wir zusagen, in einer Tabelle. Jede Zeile verlinkt auf ihre Quelle.
| Punkt | Status | Details |
|---|---|---|
| Meldekanal | Immer offen | Schreiben Sie an [email protected]. Der Kanal hängt von keiner Bug-Bounty-Kampagne ab. |
| Offenlegungsrichtlinie | Veröffentlicht | Umfang, Testregeln, Antwortzeiten und Safe Harbor in 8 Sprachen. Der englische Text ist verbindlich. |
| Safe Harbor | In Kraft | Bei versehentlichen Verstößen gegen die Richtlinie in gutem Glauben leiten wir keine rechtlichen Schritte ein und unterstützen solche auch nicht. |
| Bug Bounty | Periodische Kampagnen | Jede Kampagne wird mit Terminen, Umfang und Budget angekündigt. Meldungen außerhalb einer Kampagne erhalten dieselben Zusagen. |
| security.txt | Signiert | Kontaktdatei nach RFC 9116 auf jedem Host, den wir betreiben. Die Kopie auf trust.keenauth.com ist mit OpenPGP signiert. |
| Sicherheitshinweise | Atom-Feed | Behobene Probleme mit Schweregrad, CVSS-4.0-Vektor und betroffenen Versionen. |
Compliance
Wir zeigen einen Rahmen nur dann als erfüllt an, wenn ein datierter Auditbericht oder ein Zertifikat vorliegt. Bis dahin sagt jede Zeile, wo wir stehen.
- SOC 2Noch nicht auditiertDas Audit beginnt nach dem Start. Sobald der Bericht vorliegt, zeigt diese Zeile sein Datum und den Prüfer.
- ISO/IEC 27001Nicht zertifiziertUnsere Kontrollen sind nach ISO/IEC 27001, 27017 und 27018 ausgelegt. Wir besitzen kein Zertifikat.
- GDPRAuf Konformität ausgelegtKeenAuth wird nach EU-Recht entwickelt. Die Auftragsverarbeitungsvereinbarung und die Liste der Unterauftragsverarbeiter werden vor dem Start hier veröffentlicht.
- EU Cyber Resilience ActAuf Konformität ausgelegtSchwachstellenbehandlung, diese Offenlegungsrichtlinie und unsere Sicherheitshinweise folgen den Anforderungen des Cyber Resilience Act.
Unsere Antwortzusagen
- 2Werktageum Ihre Meldung zu bestätigen
- 5Werktageum sie mit einem CVSS-4.0-Wert zu bewerten
- 14Tagehöchstens zwischen Statusaktualisierungen
- 90Tagebis Sie standardmäßig offenlegen dürfen
Was nach Ihrer Meldung geschieht
Sie melden
Schreiben Sie an [email protected] mit dem betroffenen Host oder der Version, den Auswirkungen und den Schritten zur Reproduktion. Verschlüsseln Sie vertrauliche Details mit unserem OpenPGP-Schlüssel.
Wir bestätigen und bewerten
Wir bestätigen Ihre Meldung innerhalb von 2 Werktagen und senden Ihnen innerhalb von 5 Werktagen das Bewertungsergebnis mit einem CVSS-4.0-Wert.
Wir beheben und stimmen die Offenlegung ab
Wir senden Ihnen mindestens alle 14 Tage eine Statusaktualisierung, beheben das Problem innerhalb des Zeitziels für seinen Schweregrad und stimmen die öffentliche Offenlegung mit Ihnen ab.
Ressourcen
- Richtlinie zur Offenlegung von SchwachstellenUmfang, Testregeln, unsere Antwortzeiten und Safe Harbor.
- SicherheitshinweiseBehobene Sicherheitsprobleme mit Schweregrad und betroffenen Versionen. Auch als Atom-Feed verfügbar.
- Danksagungen für SicherheitsmeldungenForschende, die uns Probleme verantwortungsvoll gemeldet haben, mit ihrer Zustimmung gelistet.
- security.txt (RFC 9116)Unser maschinenlesbarer Sicherheitskontakt, signiert mit unserem OpenPGP-Schlüssel.
Fragen und Antworten
Wie melde ich eine Sicherheitslücke?
Schreiben Sie an [email protected]. Nennen Sie den betroffenen Host, die Produkt- oder SDK-Version, die Auswirkungen, eine Schritt-für-Schritt-Reproduktion und einen Proof of Concept. Verwenden Sie keine Support-Tickets und nicht das Community-Forum.
Ist meine Forschung geschützt?
Forschung, die der Richtlinie folgt, gilt als autorisiert. Wir leiten wegen versehentlicher Verstöße in gutem Glauben keine rechtlichen Schritte gegen Sie ein und unterstützen solche nicht.
Zahlen Sie Prämien?
Wir betreiben kein dauerhaft offenes Bug-Bounty-Programm. Wir führen periodische Kampagnen durch, die mit Terminen, Umfang und Budget angekündigt werden; Forschende melden sich vorab an. Meldungen außerhalb einer Kampagne werden mit denselben Zusagen bearbeitet.
Was ist nicht im Umfang enthalten?
Denial of Service und Lasttests, Social Engineering, physische Tests, die Systeme unserer Infrastrukturanbieter und die eigenen Anwendungen unserer Kunden. Die Richtlinie enthält die vollständige Liste.
Wie prüfe ich, ob unsere security.txt authentisch ist?
Laden Sie unseren OpenPGP-Schlüssel herunter, vergleichen Sie seinen Fingerabdruck mit dem auf dieser Seite und prüfen Sie die Signatur der Datei mit gpg --verify.
In welchen Sprachen kann ich schreiben?
Auf Englisch oder Türkisch.
Verschlüsseln Sie Ihre Meldung
Melden Sie Sicherheitsprobleme per E-Mail an [email protected]. Verschlüsseln Sie vertrauliche Details mit unserem OpenPGP-Schlüssel.
Fingerabdruck0336 4D65 3B6C AA93 98A6 BE84 5C82 4CF9 48AB 83D6