Cyber Security reporting

Wie Sie eine Schwachstelle melden

Sie können uns über einen der folgenden Kanäle kontaktieren. Sie sind die zentrale Anlaufstelle von DAVE für die Meldung und den Empfang von Informationen über Schwachstellen in unseren Produkten.

Web-Meldeformular

Füllen Sie das Formular mit der Beschreibung des Problems aus, das Sie am Ende dieser Seite finden. Es ist der empfohlene Kanal für eine strukturierte Meldung.

Dedizierte E-Mail

security@dave.eu

Wir antworten auf Italienisch und auf Englisch.

Was die Meldung enthalten sollte

Damit wir das Problem so schnell wie möglich verstehen und reproduzieren können, bitten wir Sie, so weit wie möglich anzugeben:

• das betroffene Produkt (Handelsname/Code, Hardware- und/oder Firmware-Version, Seriennummer falls verfügbar);
• eine Beschreibung der Schwachstelle und ihrer potenziellen Auswirkungen;
• die Schritte zur Reproduktion des Problems (Proof of Concept, Befehle, Anfragen, Konfiguration);
• etwaige Voraussetzungen oder Bedingungen, die für die Ausnutzung erforderlich sind;
• Logs, Screenshots, Fotos, Dateien oder Code, die für die Analyse nützlich sind;
• Ihre Kontaktdaten für die weitere Kommunikation (optional, falls Sie auf dem Laufenden gehalten oder genannt werden möchten);
• ob Sie der Ansicht sind, dass die Schwachstelle bereits bekannt oder bereits offengelegt ist, oder ob Sie bereits Dritte informiert haben (z. B. CVE, CSIRT, andere Anbieter).
• ob Sie der Ansicht sind, dass die Schwachstelle bereits aktiv ausgenutzt wird

Ein vollständiger Exploit ist nicht erforderlich: Auch eine klare Beschreibung des Problems ist hilfreich.

Verhaltensregeln ("Safe Harbor")

DAVE Embedded Systems betrachtet in gutem Glauben durchgeführte Sicherheitsforschung als wertvollen Beitrag. Wir werden keine rechtlichen Schritte einleiten oder unterstützen gegen Personen, die eine Schwachstelle melden, sofern Sie bei der Forschungstätigkeit und bei der Meldung:

• diese Richtlinie einhalten und in gutem Glauben handeln;
• Verletzungen der Privatsphäre, Zerstörung oder Veränderung von Daten sowie Unterbrechung oder Beeinträchtigung unserer Dienste vermeiden;
• personenbezogene oder vertrauliche Daten Dritter nicht abrufen, kopieren oder aufbewahren, über das zur Demonstration der Schwachstelle notwendige Mindestmaß hinaus, und diese nach Abschluss der Meldung löschen;
• die Schwachstelle nicht ausnutzen über das hinaus, was zur Überprüfung ihres Vorhandenseins notwendig ist (keine Datenexfiltration, keine laterale Bewegung, keine Installation von Malware usw.);
• die Schwachstelle nicht öffentlich machen, bevor sie behoben wurde und bevor Sie mit uns den Zeitplan der Offenlegung vereinbart haben (siehe unten);
• die geltenden Gesetze einhalten.

Vom "Safe Harbor" ausgenommen sind Tätigkeiten, die vorsätzlichen Schaden verursachen, Erpressung, der Zugriff auf nicht erforderliche Daten und jedes rechtswidrige Verhalten. Im Zweifelsfall kontaktieren Sie uns vor dem Vorgehen: Wir prüfen gemeinsam das weitere Vorgehen.

Öffentliche Offenlegung

Wir bevorzugen eine koordinierte Offenlegung: Die Veröffentlichung der Details erfolgt erst, nachdem eine Korrektur oder Minderung für die Anwender verfügbar ist, und in Abstimmung mit der Person, die die Schwachstelle gemeldet hat.

Als allgemeine Richtschnur wenden wir ein Zeitfenster von 90 Tagen ab der Entgegennahme an, um eine Korrektur verfügbar zu machen; dieses kann in einvernehmlicher Abstimmung in komplexeren Fällen verlängert werden. Wenn angebracht, veröffentlichen wir ein Security Advisory auf unserer Website.

Danksagungen

Sofern Sie nichts anderes angeben, nennen wir gerne öffentlich diejenigen, die uns geholfen haben, die Sicherheit unserer Produkte zu verbessern, und geben Ihren Namen (oder Ihr Pseudonym) in den Security Advisories an. Wenn Sie anonym bleiben möchten, respektieren wir Ihre Wahl.

Derzeit ist kein Programm für finanzielle Belohnungen (Bug Bounty) vorgesehen.

Geltungsbereich (Scope)

Diese Richtlinie gilt für Produkte mit digitalen Elementen, die von DAVE S.r.l. hergestellt werden sowie für die direkt von DAVE verwalteten Dienste und Infrastrukturen.

Betrifft die Schwachstelle das Produkt eines Kunden, das DAVE-Komponenten integriert, oder eine in unseren Produkten enthaltene Drittanbieterkomponente, kontaktieren Sie uns trotzdem: Wir koordinieren die Bearbeitung mit der verantwortlichen Stelle.