이 정책은 영어 원문이 우선합니다. Vulnerability disclosure policy

KeenAuth 취약점 공개 정책

KeenAuth는 KeenAuth를 판매하는 미국 회사(Asindie, Inc.)가 제공하며, 이 정책에서는 "당사"라고 부릅니다. 보안 연구자와 일반 대중의 신고를 환영합니다. KeenAuth에서 취약점, 개인정보 문제, 노출된 데이터 또는 기타 보안 문제를 발견했다고 생각되면 알려 주십시오. 이 정책은 신고 방법, 당사가 신고자에게 기대하는 사항, 그리고 신고자가 당사에게 기대할 수 있는 사항을 설명합니다.

KeenAuth 시스템은 라이선스 제공자인 AsindieTR, Ltd.가 운영하며, 이 회사 역시 아래의 세이프 하버 약속을 포함하여 이 정책에 구속됩니다.

이 신고 채널은 항상 열려 있습니다. 어떤 버그 바운티 캠페인에도 좌우되지 않습니다.

신고 방법

[email protected]으로 이메일을 보내십시오. 민감한 세부 정보는 당사의 OpenPGP 키로 암호화하십시오: https://trust.keenauth.com/pgp-key.txt.
당사의 security.txt는 당사가 운영하는 모든 호스트의 https://<host>/.well-known/security.txt에 게시됩니다(RFC 9116).
당사는 영어와 터키어로 된 신고를 읽습니다.
다음 내용을 포함해 주십시오: 영향을 받는 호스트, 제품 또는 SDK 버전; 설명과 영향; 단계별 재현 절차; 개념 증명(PoC); 그리고 크레딧을 원하신다면 이름 또는 핸들.
고객 지원 티켓이나 커뮤니티 포럼을 통해 신고하지 마십시오.

적용 범위

당사가 운영하는 호스트: keenauth.com, dashboard.keenauth.com, api.keenauth.com, 각 api.<region>.keenauth.com, 각 dashboard-api.<region>.keenauth.com, docs.keenauth.com, trust.keenauth.com, 그리고 각 환경 호스트 <slug>.<region>.keenauth.app.
당사의 첫 고객들이 사용하는 호스팅 로그인 페이지를 포함한 KeenAuth 호스팅 로그인.
KeenAuth SDK, CLI 및 MCP 서버. SDK의 안전하지 않은 기본값도 적용 범위에 포함됩니다.
KeenAuth 플랫폼 자체에 영향을 주는 고객 사용자 지정 도메인의 발견 사항. 사용자 지정 도메인은 당사의 security.txt를 제공하지 않으므로, 이러한 플랫폼 발견 사항은 [email protected]으로 신고하십시오.

적용 범위 외

ops.keenauth.internal 및 기타 내부 직원 시스템.
당사 인프라 제공업체의 시스템. 해당 제공업체에 신고하십시오.
고객 자신의 애플리케이션 및 ID 제공자, 그리고 고객의 SDK 또는 자신의 환경 잘못된 구성. 해당 고객에게 신고하십시오.
고객으로서 KeenAuth를 사용하는 제품(예: nSupp, BrieflyUp, MindAI, PostHubify)의 애플리케이션 화면. KeenAuth에서의 이들 제품 호스팅 로그인은 적용 범위에 포함됩니다.
서비스 거부(DoS) 및 볼륨 또는 부하 테스트.
피싱과 전화 사기를 포함하여 당사 직원, 지원 팀 또는 고객을 대상으로 한 사회공학.
물리적 테스트.

테스트 규칙

직접 생성한 Free 플랜 계정으로만 테스트하며, 연구자 1인당 최대 3개 계정까지 사용할 수 있습니다.
다른 고객의 환경과 최종 사용자는 적용 범위 외입니다. 유일한 예외는 환경 간 접근을 입증하는 경우이며, 이때에도 본인의 계정만 사용해 입증해야 합니다.
문제를 입증하는 데 필요한 최소한의 데이터에만 접근하십시오. 다른 사람의 데이터에 접근했다면 즉시 중단하고, 당사에 알린 뒤, 로컬 사본을 모두 삭제하고 삭제 사실을 당사에 서면으로 확인해 주십시오. 그 후 당사는 사고 및 침해 통지 절차를 시작합니다.
서비스를 저하시키거나, 데이터를 파괴하거나, 누구의 사용자 경험도 해치지 마십시오.
아래의 조정 공개일 이전에 문제를 공개적으로 발표하지 마십시오.
금품을 요구하는 행위를 하지 마십시오.

자신의 환경을 테스트하려는 고객은 당사의 고객 침투 테스트 정책 (https://trust.keenauth.com/customer-pentest-policy)을 따릅니다. 해당 정책의 규칙은 위의 테스트 규칙과 같습니다.

당사의 약속

단계	기한
신고 접수 확인	영업일 기준 2일 이내
분류 및 CVSS 4.0 점수	영업일 기준 5일 이내
상태 업데이트	종결 시까지 최소 14일마다
수정	아래 표에 따름

심각도	수정 목표
실제로 악용되고 있거나 CISA KEV에 등재되어 있으며 접근 가능한 경우	24시간 이내 완화, 72시간 이내 수정
치명적이며 인터넷에 노출된 서비스에서 접근 가능한 경우	72시간 이내
그 밖의 치명적 취약점	7일 이내
높음	30일 이내
중간	90일 이내
낮음	180일 이내

조정 공개. 기본적으로 신고 후 90일이 지나거나, 수정과 당사의 권고문이 게시되면, 둘 중 먼저 도래하는 시점에 공개할 수 있습니다. 상호 합의에 따라 이 기간은 최대 30일까지 연장될 수 있습니다. 권고문은 https://trust.keenauth.com/advisories에 게시됩니다. 동의하시는 경우, 당사는 https://trust.keenauth.com/vdp/acknowledgments에서 신고자를 기재합니다.

세이프 하버(Safe Harbor)

이 정책에 따라 취약점 연구를 수행할 때, 당사는 해당 연구를 다음과 같이 간주합니다:

적용 가능한 해킹 방지 법률과 관련하여 승인된 행위이며, 이 정책을 선의로 우발적으로 위반한 경우에 대해 당사는 귀하에게 법적 조치를 개시하거나 지원하지 않습니다;
적용 가능한 우회 방지 법률과 관련하여 승인된 행위이며, 기술적 통제를 우회했다는 이유로 귀하에게 청구를 제기하지 않습니다;
보안 연구 수행을 방해할 수 있는 당사 서비스 약관 및 허용 사용 정책의 제한으로부터 면제되며, 당사는 그러한 제한을 제한적으로 포기합니다; 그리고
합법적이고, 인터넷 전체의 보안에 도움이 되며, 선의로 수행됩니다.

언제나 그렇듯, 귀하는 적용 가능한 모든 법률을 준수해야 합니다. 제3자가 귀하를 상대로 법적 조치를 개시하고 귀하가 이 정책을 준수했다면, 당사는 귀하의 연구가 이 정책에 따라 승인되었다는 사실을 서면으로 진술합니다.

귀하의 연구가 이 정책에 부합하는지 불확실한 경우에는, 더 나아가기 전에 [email protected]으로 문의하십시오.

세이프 하버는 당사의 통제 아래 있는 법적 청구에만 적용됩니다. 이 정책은 당사 인프라 제공업체와 고객을 포함하여 독립된 제3자를 구속하지 않습니다.

버그 바운티 캠페인

당사는 상시 공개되는 버그 바운티를 운영하지 않습니다. 당사는 정기 바운티 캠페인을 운영합니다. 당사는 각 캠페인을 열고, 시작일과 종료일, 범위와 예산을 공지하며, 연구자는 사전에 등록합니다. 캠페인은 공지된 날짜와 시간(UTC)에 열리고 닫힙니다. 캠페인 기간 외의 신고이거나 캠페인에 등록되지 않은 연구자의 신고는 바운티를 받지 못하지만, 동일한 약속에 따라 이 정책을 통해 처리됩니다. 당사는 재량에 따라 감사 인사나 호의적 보상을 제공할 수 있습니다.

귀하의 데이터

당사는 귀하의 이름, 이메일 주소 및 핸들을 신고를 조율하고 크레딧을 부여하는 목적으로만 처리합니다. 신고가 종결된 후 3년 동안 보관합니다. 신고 첨부 파일의 개인정보는 분류 과정에서 마스킹되며, 원본 첨부 파일은 30일 후 삭제됩니다.

[email protected]의 OpenPGP 키 · 지문: 0336 4D65 3B6C AA93 98A6 BE84 5C82 4CF9 48AB 83D6