Sikkerhetspolicy

01 Policy for ansvarlig offentliggjøring

InfoPeak verdsetter sikkerhetsforskere og ønsker ansvarlig offentliggjøring av sårbarheter velkommen. Hvis du oppdager et sikkerhetsproblem i en InfoPeak-tjeneste, oppfordrer vi deg til å rapportere det.

02 Omfang

Følgende tjenester og eiendeler er innenfor omfanget av ansvarlig avsløring:

• infopeak.io - hovedapplikasjon og nettsted
• auth.infopeak.io - autentiseringstjeneste
• InfoPeak Pass - nettleserutvidelse
• InfoPeak VPN - mobil- og skrivebordsapplikasjoner

03 Retningslinjer for offentliggjøring

Vi ber sikkerhetsforskere om å følge disse retningslinjene:

• Gi tilstrekkelige detaljer til å reprodusere sårbarheten.
• Du må ikke få tilgang til, endre eller slette data som tilhører andre brukere.
• Ikke utfør denial-of-service-angrep eller sosial manipulering.
• Gi oss rimelig tid (90 dager) til å løse problemet før offentlig avsløring.

04 Svartidslinje

Tidslinjen gjelder rapporter innenfor omfanget i avsnitt 02 som oppfyller kravene i avsnitt 09.

05 Safe Harbor

InfoPeak vil ikke forfølge juridiske skritt mot sikkerhetsforskere som oppdager og rapporterer sårbarheter i god tro i henhold til denne policyen. Vi anser sikkerhetsforskning utført under denne policyen som autorisert og vil ikke innlede juridiske krav for å omgå teknologiske tiltak der forskningen utføres i samsvar med denne policyen.

06 Hendelseshåndtering & bruddvarsel

I tilfelle en sikkerhetshendelse eller databrudd følger InfoPeak disse prosedyrene i samsvar med NIS2-direktivet (EU) 2022/2555 og GDPR-artikkel 33 og 34:

• Innen 24 timer: Tidlig varsling til relevant nasjonalt CSIRT (Computer Security Incident Response Team).
• Innen 72 timer: Full hendelsesvarsel til tilsynsmyndigheten (GDPR) og CSIRT (NIS2), inkludert omfangsvurdering og avbøtende tiltak.
• Uten unødig forsinkelse: Berørte brukere vil bli varslet via e-post med klar informasjon om bruddets art, berørte data, tiltak som er tatt og anbefalte handlinger.
• Innen 1 måned: En endelig rapport sendes til relevante myndigheter med årsaksanalyse og forebyggende tiltak.

07 Sikkerhetsarkitektur

InfoPeak benytter følgende sikkerhetstiltak som en del av vår forpliktelse til Cyber Resilience Act (CRA):

• Kryptering i hvile: Innholdet ditt krypteres med AES-256-GCM. Nøklene utledes i nettleseren din med PBKDF2-SHA256 (210 000 iterasjoner) og når aldri serverne våre.
• Kryptering i transitt: TLS 1.3 for alle tilkoblinger.
• Zero-knowledge-arkitektur: Personlige krypteringsnøkler er avledet på klientsiden. InfoPeak har ikke tilgang til det krypterte innholdet ditt.
• Kun EU-hosting: All infrastruktur er plassert innenfor Den europeiske union.
• Regelmessige sikkerhetsoppdateringer: Avhengigheter og infrastruktur overvåkes og oppdateres kontinuerlig.

08 Utenfor omfanget

Følgende blir registrert, men behandles ikke som sårbarheter. Rapporter som utelukkende dekker punkter herfra, får ikke et individuelt svar:

• Manglende sikkerhetsheadere uten en påvist utnyttelse - for eksempel CSP, HSTS eller X-Frame-Options på sider uten sensitivt innhold.
• SPF-, DKIM- og DMARC-oppsett samt andre DNS-anbefalinger uten dokumentert spoofing.
• Self-XSS og angrep som krever at offeret selv limer inn kode i sin egen nettleserkonsoll.
• Clickjacking på sider uten tilstandsendrende handlinger.
• Manglende rate limiting på endepunkter som verken autentiserer eller sender e-post.
• Versjons- og teknologiavsløring samt rapporter om utdaterte biblioteker uten en påvist angrepsvei.
• Utdata fra automatiske skannere uten en verifisert, reproduserbar utnyttelse.
• Denial of service, volumangrep, social engineering og fysisk tilgang.

09 Krav til en rapport

En rapport må kunne leses og reproduseres uten at vi må spørre om mer. Send den som tekst i selve e-posten:

• Berørt URL eller endepunkt samt hvilken konto eller rolle du testet med.
• Reproduksjonstrinn i skriftlig form. En video alene er ikke nok - vi behandler ikke rapporter der trinnene bare finnes i en videofil.
• Den konkrete konsekvensen. Hvilke data eller handlinger blir tilgjengelige, og for hvem.
• Ett funn per rapport. Samlerapporter med flere urelaterte funn blir ikke triagert.
• Ingen lenker til eksterne filtjenester. Legg dokumentasjon direkte ved e-posten.

Rapporter som ikke oppfyller disse kravene, lukkes uten svar. Det er ikke en vurdering av funnet - vi har ikke kapasitet til å rekonstruere en rapport for avsenderen.