KeenAuth'ta güvenlik
Bir güvenlik sorunu mu buldunuz? Sizden haber almak istiyoruz.
Bildirim kanalımız her zaman açıktır. Nasıl bildireceğinizi, araştırmacılardan neler beklediğimizi ve bizden neler bekleyebileceğinizi okuyun.
[email protected]Hassas ayrıntıları OpenPGP anahtarımızla şifreleyin.
Program bir bakışta
Üstlendiğimiz taahhütler tek bir tabloda. Her satır kaynağına bağlanır.
| Öğe | Durum | Ayrıntı |
|---|---|---|
| Bildirim kanalı | Her zaman açık | [email protected] adresine e-posta gönderin. Kanal, herhangi bir bug bounty kampanyasına bağlı değildir. |
| Zafiyet bildirim politikası | Yayımlandı | Kapsam, test kuralları, yanıt süreleri ve güvenli liman 8 dilde. Bağlayıcı metin İngilizcedir. |
| Güvenli liman | Yürürlükte | Politikaya kasıtsız, iyi niyetli aykırılıklar için hukuki işlem başlatmaz ve desteklemeyiz. |
| Bug bounty | Dönemsel kampanyalar | Her kampanya tarihleri, kapsamı ve bütçesiyle duyurulur. Kampanya dışındaki bildirimler de aynı taahhütlerle karşılanır. |
| security.txt | İmzalı | İşlettiğimiz her sunucuda RFC 9116 iletişim dosyası bulunur. trust.keenauth.com'daki kopya OpenPGP ile imzalıdır. |
| Güvenlik bültenleri | Atom akışı | Önem derecesi, CVSS 4.0 vektörü ve etkilenen sürümlerle giderilmiş sorunlar. |
Uyumluluk
Bir çerçeveyi yalnızca tarihli bir denetim raporu ya da sertifika olduğunda sahip olunan olarak gösteririz. O zamana kadar her satır bulunduğumuz noktayı belirtir.
- SOC 2Henüz denetlenmediDenetim yayından sonra başlar. Rapor hazır olduğunda bu satır raporun tarihini ve denetçisini gösterecektir.
- ISO/IEC 27001Sertifikalı değilKontrollerimiz ISO/IEC 27001, 27017 ve 27018 esas alınarak tasarlanmıştır. Bir sertifikamız yoktur.
- GDPRUyum için tasarlandıKeenAuth AB hukukuna göre geliştirilir. Veri işleme sözleşmesi ve alt işleyici listesi yayından önce burada yayımlanacaktır.
- EU Cyber Resilience ActUyum için tasarlandıZafiyet yönetimi, bu bildirim politikamız ve güvenlik bültenlerimiz Siber Direnç Yasası'nın gereklerini izler.
Yanıt taahhütlerimiz
- 2iş günübildiriminizi onaylamak için
- 5iş günüCVSS 4.0 puanıyla triyaj yapmak için
- 14gündurum güncellemeleri arasında en fazla
- 90günvarsayılan olarak açıklayabileceğiniz tarihe kadar
Bildirdikten sonra neler olur
Bildirirsiniz
[email protected] adresine etkilenen sunucuyu ya da sürümü, etkisini ve yeniden üretme adımlarını yazın. Hassas ayrıntıları OpenPGP anahtarımızla şifreleyin.
Onaylar ve triyaj yaparız
Bildiriminizi 2 iş günü içinde onaylar, CVSS 4.0 puanlı triyaj sonucunu 5 iş günü içinde size göndeririz.
Düzeltir ve açıklamayı koordine ederiz
En az 14 günde bir durum güncellemesi gönderir, sorunu önem derecesi için hedef süre içinde düzeltir ve kamuya açıklamayı sizinle koordine ederiz.
Kaynaklar
- Zafiyet bildirim politikasıKapsam, test kuralları, yanıt sürelerimiz ve güvenli liman.
- Güvenlik bültenleriÖnem derecesi ve etkilenen sürümlerle düzelttiğimiz güvenlik sorunları. Atom akışı olarak da sunulur.
- Güvenlik teşekkürleriSorunları bize sorumlu biçimde bildiren araştırmacılar, onaylarıyla listelenir.
- security.txt (RFC 9116)OpenPGP anahtarımızla imzalı, makine tarafından okunabilir güvenlik iletişim dosyamız.
Sorular ve yanıtlar
Bir zafiyeti nasıl bildiririm?
[email protected] adresine e-posta gönderin. Etkilenen sunucuyu, ürün ya da SDK sürümünü, etkisini, adım adım yeniden üretimi ve bir kanıt konseptini ekleyin. Destek talepleri ya da topluluk forumunu kullanmayın.
Araştırmam korunuyor mu?
Politikayı izleyen araştırma yetkili sayılır. Politikaya kasıtsız, iyi niyetli aykırılıklarınız nedeniyle hakkınızda hukuki işlem başlatmaz ya da desteklemeyiz.
Ödül ödüyor musunuz?
Sürekli açık bir bug bounty programı yürütmüyoruz. Tarihleri, kapsamı ve bütçesi duyurulan dönemsel kampanyalar yürütüyoruz; araştırmacılar önceden kayıt olur. Kampanya dışındaki bildirimler aynı taahhütlerle yanıtlanır.
Kapsam dışında olan nedir?
Hizmet reddi ve yük testleri, sosyal mühendislik, fiziksel testler, altyapı sağlayıcılarımızın sistemleri ve müşterilerimizin kendi uygulamaları. Tam liste politikada yer alır.
Security.txt dosyamızın özgün olduğunu nasıl doğrularım?
OpenPGP anahtarımızı indirin, parmak izini bu sayfadaki parmak iziyle karşılaştırın ve dosyanın imzasını gpg --verify ile doğrulayın.
Hangi dillerde yazabilirim?
İngilizce ya da Türkçe.
Bildiriminizi şifreleyin
Güvenlik sorunlarını [email protected] adresine e-postayla bildirin. Hassas ayrıntıları OpenPGP anahtarımızla şifreleyin.
Parmak izi0336 4D65 3B6C AA93 98A6 BE84 5C82 4CF9 48AB 83D6