Política de segurança

01 Política de divulgação responsável

A InfoPeak valoriza a comunidade de investigação em segurança e acolhe a divulgação responsável de vulnerabilidades. Se descobrir um problema de segurança num serviço InfoPeak, encorajamo-lo a reportá-lo.

02 Âmbito

Os seguintes serviços e ativos estão no âmbito da divulgação responsável:

• infopeak.io - aplicação principal e site
• auth.infopeak.io - serviço de autenticação
• InfoPeak Pass - extensão do navegador
• InfoPeak VPN - aplicações móveis e de secretária

03 Diretrizes de divulgação

Pedimos aos investigadores de segurança que sigam estas diretrizes:

• Forneça detalhes suficientes para reproduzir a vulnerabilidade.
• Não aceda, modifique nem elimine dados de outros utilizadores.
• Não realize ataques de negação de serviço nem engenharia social.
• Conceda-nos um prazo razoável (90 dias) para resolver o problema antes da divulgação pública.

04 Prazos de resposta

Os prazos aplicam-se a relatórios dentro do âmbito da secção 02 que cumpram os requisitos da secção 09.

05 Safe Harbor

A InfoPeak não tomará medidas legais contra investigadores de segurança que descubram e reportem vulnerabilidades de boa fé, em conformidade com esta política. Consideramos autorizada a investigação em segurança realizada ao abrigo desta política e não iniciaremos ações legais por contornar medidas tecnológicas quando a investigação for realizada em conformidade com esta política.

06 Resposta a incidentes e notificação de violações

Em caso de incidente de segurança ou violação de dados, a InfoPeak segue estes procedimentos em conformidade com a Diretiva NIS2 (UE) 2022/2555 e os artigos 33.º e 34.º do RGPD:

• Em 24 horas: Alerta precoce ao CSIRT nacional competente (Computer Security Incident Response Team).
• Em 72 horas: Notificação completa do incidente à autoridade de controlo (RGPD) e ao CSIRT (NIS2), incluindo avaliação do âmbito e medidas de mitigação.
• Sem demora injustificada: Os utilizadores afetados serão notificados por e-mail com informação clara sobre a natureza da violação, dados afetados, medidas tomadas e ações recomendadas.
• Em 1 mês: É submetido um relatório final às autoridades competentes com análise de causa raiz e medidas preventivas.

07 Arquitetura de segurança

A InfoPeak emprega as seguintes medidas de segurança no âmbito do nosso compromisso com o Cyber Resilience Act (CRA):

• Cifragem em repouso: O teu conteúdo é cifrado com AES-256-GCM. As chaves são derivadas no teu navegador com PBKDF2-SHA256 (210.000 iterações) e nunca chegam aos nossos servidores.
• Cifragem em trânsito: TLS 1.3 para todas as ligações.
• Arquitetura zero-knowledge: As chaves de cifragem pessoais são derivadas no cliente. A InfoPeak não pode aceder ao seu conteúdo cifrado.
• Alojamento apenas na UE: Toda a infraestrutura está localizada na União Europeia.
• Atualizações de segurança regulares: Dependências e infraestrutura são monitorizadas e atualizadas continuamente.

08 Fora do âmbito

O seguinte é registado, mas não é tratado como vulnerabilidade. Relatórios que abranjam apenas estes pontos não recebem resposta individual:

• Cabeçalhos de segurança ausentes sem exploração demonstrada - por exemplo CSP, HSTS ou X-Frame-Options em páginas sem conteúdo sensível.
• Configuração de SPF, DKIM e DMARC e outras recomendações de DNS sem spoofing demonstrado.
• Self-XSS e ataques que exigem que a vítima cole código na própria consola do navegador.
• Clickjacking em páginas sem ações que alterem o estado.
• Ausência de limitação de pedidos em endpoints que não autenticam nem enviam correio.
• Divulgação de versões e tecnologias e relatórios sobre bibliotecas desatualizadas sem um caminho de ataque demonstrado.
• Resultados de scanners automáticos sem uma exploração verificada e reproduzível.
• Negação de serviço, ataques volumétricos, engenharia social e acesso físico.

09 Requisitos do relatório

Um relatório tem de ser legível e reproduzível sem que precisemos de pedir mais. Envie-o como texto no próprio e-mail:

• URL ou endpoint afetado e com que conta ou função testou.
• Passos de reprodução por escrito. Um vídeo por si só não basta - não processamos relatórios cujos passos existam apenas num ficheiro de vídeo.
• O impacto concreto. Que dados ou ações ficam acessíveis, e a quem.
• Um achado por relatório. Relatórios agregados com vários achados sem relação não são triados.
• Sem links para serviços externos de ficheiros. Anexe as provas diretamente ao e-mail.

Relatórios que não cumpram estes requisitos são encerrados sem resposta. Não é um juízo sobre o achado - não temos capacidade para reconstruir um relatório em nome de quem o envia.