Tietoturvakäytäntö

01 Vastuullisen ilmoittamisen käytäntö

InfoPeak arvostaa tietoturvatutkijoita ja toivottaa haavoittuvuuksien vastuullisen ilmoittamisen tervetulleeksi. Jos löydät tietoturvaongelman InfoPeak-palvelussa, pyydämme ilmoittamaan siitä meille.

02 Laajuus

Seuraavat palvelut ja resurssit kuuluvat vastuullisen ilmoittamisen piiriin:

• infopeak.io - pääsovellus ja verkkosivusto
• auth.infopeak.io - tunnistautumispalvelu
• InfoPeak Pass - selainlaajennus
• InfoPeak VPN - mobiili- ja työpöytäsovellukset

03 Ilmoittamisen ohjeet

Pyydämme tietoturvatutkijoita noudattamaan näitä ohjeita:

• Anna riittävät tiedot haavoittuvuuden toistamiseksi.
• Älä käytä, muokkaa tai poista muiden käyttäjien tietoja.
• Älä suorita palvelunestohyökkäyksiä tai sosiaalista manipulointia.
• Anna meille kohtuullinen aika (90 päivää) korjata ongelma ennen julkista ilmoittamista.

04 Vastausaikataulu

Aikataulu koskee ilmoituksia, jotka kuuluvat kohdan 02 laajuuteen ja täyttävät kohdan 09 vaatimukset.

05 Safe Harbor

InfoPeak ei ryhdy oikeustoimiin tietoturvatutkijoita vastaan, jotka löytävät ja ilmoittavat haavoittuvuuksia vilpittömässä mielessä tämän käytännön mukaisesti. Pidämme tämän käytännön mukaista tietoturvatutkimusta valtuutettuna emmekä aloita oikeudellisia vaateita teknisten suojatoimien kiertämisestä, kun tutkimus noudattaa tätä käytäntöä.

06 Tietoturvatapahtumien käsittely ja tietomurtoilmoitukset

Tietoturvatapahtuman tai tietomurron sattuessa InfoPeak noudattaa näitä menettelyjä NIS2-direktiivin (EU) 2022/2555 ja GDPR:n artiklojen 33 ja 34 mukaisesti:

• 24 tunnin kuluessa: Varhainen varoitus asianomaiselle kansalliselle CSIRT:lle (Computer Security Incident Response Team).
• 72 tunnin kuluessa: Täydellinen tapahtumailmoitus valvontaviranomaiselle (GDPR) ja CSIRT:lle (NIS2), mukaan lukien laajuusarviointi ja lieventävät toimenpiteet.
• Viivytyksettä: Asianomaiset käyttäjät ilmoitetaan sähköpostitse selkeällä tiedolla murron luonteesta, kosketetuista tiedoista, tehdyistä toimenpiteistä ja suositelluista toimista.
• 1 kuukauden kuluessa: Loppuraportti toimitetaan asianomaisille viranomaisille juurisyyanalyysin ja ennaltaehkäisevien toimenpiteiden kera.

07 Tietoturva-arkkitehtuuri

InfoPeak käyttää seuraavia tietoturvatoimia osana sitoumustamme Cyber Resilience Act (CRA):

• Salaus levossa: Sisältösi salataan AES-256-GCM:llä. Avaimet johdetaan selaimessasi PBKDF2-SHA256:lla (210 000 iteraatiota) eivätkä ne koskaan päädy palvelimillemme.
• Salaus siirrossa: TLS 1.3 kaikille yhteyksille.
• Zero-knowledge-arkkitehtuuri: Henkilökohtaiset salausavaimet johdetaan asiakaspuolella. InfoPeak ei pääse käsiksi salattuun sisältöösi.
• Vain EU-hosting: Kaikki infrastruktuuri sijaitsee Euroopan unionissa.
• Säännölliset tietoturvapäivitykset: Riippuvuuksia ja infrastruktuuria valvotaan ja päivitetään jatkuvasti.

08 Laajuuden ulkopuolella

Seuraavat kirjataan, mutta niitä ei käsitellä haavoittuvuuksina. Ilmoitukset, jotka kattavat vain nämä kohdat, eivät saa erillistä vastausta:

• Puuttuvat tietoturvaotsakkeet ilman osoitettua hyväksikäyttöä - esimerkiksi CSP, HSTS tai X-Frame-Options sivuilla, joilla ei ole arkaluonteista sisältöä.
• SPF-, DKIM- ja DMARC-määritykset sekä muut DNS-suositukset ilman osoitettua spoofausta.
• Self-XSS ja hyökkäykset, joissa uhrin on itse liitettävä koodia omaan selainkonsoliinsa.
• Clickjacking sivuilla, joilla ei ole tilaa muuttavia toimintoja.
• Puuttuva pyyntörajoitus päätepisteissä, jotka eivät todenna käyttäjää eivätkä lähetä sähköpostia.
• Versio- ja teknologiatietojen paljastuminen sekä ilmoitukset vanhentuneista kirjastoista ilman osoitettua hyökkäyspolkua.
• Automaattisten skannerien tulosteet ilman vahvistettua, toistettavaa hyväksikäyttöä.
• Palvelunesto, volyymihyökkäykset, sosiaalinen manipulointi ja fyysinen pääsy.

09 Ilmoituksen vaatimukset

Ilmoitus on voitava lukea ja toistaa ilman lisäkysymyksiä. Lähetä se tekstinä itse sähköpostissa:

• Kyseinen URL-osoite tai päätepiste sekä tili tai rooli, jolla testasit.
• Toistovaiheet kirjallisesti. Video yksin ei riitä - emme käsittele ilmoituksia, joiden vaiheet ovat vain videotiedostossa.
• Konkreettinen vaikutus. Mitkä tiedot tai toiminnot tulevat saataville, ja kenelle.
• Yksi löydös per ilmoitus. Koontiluetteloita, joissa on useita erillisiä löydöksiä, ei luokitella.
• Ei linkkejä ulkoisiin tiedostopalveluihin. Liitä aineisto suoraan sähköpostiin.

Ilmoitukset, jotka eivät täytä näitä vaatimuksia, suljetaan ilman vastausta. Se ei ole arvio löydöksestä - meillä ei ole resursseja koota ilmoitusta lähettäjän puolesta.