Politica di sicurezza

01 Politica di divulgazione responsabile

InfoPeak valorizza la comunità di ricerca sulla sicurezza e accoglie la divulgazione responsabile delle vulnerabilità. Se scopri un problema di sicurezza in un servizio InfoPeak, ti invitiamo a segnalarcelo.

02 Ambito

I seguenti servizi e asset rientrano nell'ambito della divulgazione responsabile:

• infopeak.io - applicazione principale e sito web
• auth.infopeak.io - servizio di autenticazione
• InfoPeak Pass - estensione del browser
• InfoPeak VPN - applicazioni mobili e desktop

03 Linee guida per la divulgazione

Chiediamo ai ricercatori di sicurezza di seguire queste linee guida:

• Fornisci dettagli sufficienti per riprodurre la vulnerabilità.
• Non accedere, modificare o eliminare dati di altri utenti.
• Non eseguire attacchi denial-of-service o ingegneria sociale.
• Concedici un tempo ragionevole (90 giorni) per risolvere il problema prima di una divulgazione pubblica.

04 Tempi di risposta

Le tempistiche si applicano alle segnalazioni comprese nell'ambito della sezione 02 che soddisfano i requisiti della sezione 09.

05 Safe Harbor

InfoPeak non intraprenderà azioni legali contro i ricercatori di sicurezza che scoprano e segnalino vulnerabilità in buona fede conformemente a questa politica. Consideriamo autorizzata la ricerca in sicurezza condotta nell'ambito di questa politica e non avvieremo azioni legali per il superamento di misure tecnologiche quando la ricerca è condotta in conformità con questa politica.

06 Risposta agli incidenti e notifica delle violazioni

In caso di incidente di sicurezza o violazione dei dati, InfoPeak segue queste procedure conformemente alla Direttiva NIS2 (UE) 2022/2555 e agli articoli 33 e 34 del GDPR:

• Entro 24 ore: Avviso precoce al CSIRT nazionale competente (Computer Security Incident Response Team).
• Entro 72 ore: Notifica completa dell'incidente all'autorità di controllo (GDPR) e al CSIRT (NIS2), inclusa valutazione dell'ambito e misure di mitigazione.
• Senza indebito ritardo: Gli utenti interessati saranno informati via e-mail con informazioni chiare sulla natura della violazione, i dati coinvolti, le misure adottate e le azioni consigliate.
• Entro 1 mese: Un rapporto finale è inviato alle autorità competenti con analisi delle cause e misure preventive.

07 Architettura di sicurezza

InfoPeak adotta le seguenti misure di sicurezza nell'ambito del nostro impegno per il Cyber Resilience Act (CRA):

• Cifratura a riposo: I tuoi contenuti sono cifrati con AES-256-GCM. Le chiavi sono derivate nel tuo browser con PBKDF2-SHA256 (210.000 iterazioni) e non raggiungono mai i nostri server.
• Cifratura in transito: TLS 1.3 per tutte le connessioni.
• Architettura zero-knowledge: Le chiavi di cifratura personali sono derivate lato client. InfoPeak non può accedere ai tuoi contenuti cifrati.
• Solo hosting UE: Tutta l'infrastruttura si trova nell'Unione europea.
• Aggiornamenti di sicurezza regolari: Dipendenze e infrastruttura sono monitorate e aggiornate continuamente.

08 Fuori ambito

Quanto segue viene registrato ma non trattato come vulnerabilità. Le segnalazioni che riguardano solo questi punti non ricevono una risposta individuale:

• Header di sicurezza mancanti senza uno sfruttamento dimostrato: ad esempio CSP, HSTS o X-Frame-Options su pagine senza contenuti sensibili.
• Configurazione di SPF, DKIM e DMARC e altre raccomandazioni DNS senza spoofing dimostrato.
• Self-XSS e attacchi che richiedono alla vittima di incollare codice nella propria console del browser.
• Clickjacking su pagine senza azioni che modificano lo stato.
• Assenza di rate limiting su endpoint che non autenticano né inviano posta.
• Divulgazione di versioni e tecnologie e segnalazioni su librerie obsolete senza un percorso di attacco dimostrato.
• Output di scanner automatici senza uno sfruttamento verificato e riproducibile.
• Denial of service, attacchi volumetrici, social engineering e accesso fisico.

09 Requisiti della segnalazione

Una segnalazione deve essere leggibile e riproducibile senza che dobbiamo chiedere altro. Inviala come testo nell'e-mail stessa:

• URL o endpoint interessato e con quale account o ruolo hai effettuato il test.
• Passaggi di riproduzione scritti. Un video da solo non basta: non elaboriamo segnalazioni i cui passaggi esistono solo in un file video.
• L'impatto concreto. Quali dati o azioni diventano accessibili, e a chi.
• Una scoperta per segnalazione. Le segnalazioni cumulative con più scoperte non correlate non vengono valutate.
• Nessun link a servizi di file esterni. Allega le prove direttamente all'e-mail.

Le segnalazioni che non soddisfano questi requisiti vengono chiuse senza risposta. Non è un giudizio sulla scoperta: non abbiamo la capacità di ricostruire una segnalazione al posto del mittente.