Політика безпеки

01 Політика відповідального розкриття

InfoPeak цінує спільноту дослідників безпеки та вітає відповідальне повідомлення про вразливості. Якщо ви виявите проблему безпеки в будь-якому сервісі InfoPeak, просимо повідомити нас.

02 Обсяг

Наступні сервіси та активи входять до сфери відповідального розкриття:

• infopeak.io - основний застосунок і вебсайт
• auth.infopeak.io - сервіс автентифікації
• InfoPeak Pass - розширення браузера
• InfoPeak VPN - мобільні та настільні застосунки

03 Настанови щодо повідомлення

Просимо дослідників безпеки дотримуватися цих настанов:

• Надайте достатньо деталей для відтворення вразливості.
• Не отримуйте доступ до даних інших користувачів, не змінюйте та не видаляйте їх.
• Не здійснюйте атаки типу «відмова в обслуговуванні» та соціальну інженерію.
• Надайте нам розумний термін (90 днів) для усунення проблеми перед публічним розкриттям.

04 Терміни відповіді

Ці терміни стосуються повідомлень у межах обсягу з розділу 02, які відповідають вимогам розділу 09.

05 Safe Harbor

InfoPeak не вживатиме правових заходів проти дослідників безпеки, які добросовісно виявляють і повідомляють про вразливості відповідно до цієї політики. Ми вважаємо дослідження безпеки за цією політикою дозволеним і не ініціюємо правові претензії за обхід технологічних заходів, якщо дослідження відповідає цій політиці.

06 Реагування на інциденти та повідомлення про порушення

У разі інциденту безпеки або порушення даних InfoPeak дотримується цих процедур відповідно до Директиви NIS2 (ЄС) 2022/2555 та статей 33 і 34 GDPR:

• Протягом 24 годин: Раннє попередження відповідному національному CSIRT (Computer Security Incident Response Team).
• Протягом 72 годин: Повне повідомлення про інцидент наглядовому органу (GDPR) та CSIRT (NIS2), включно з оцінкою масштабу та заходами пом'якшення.
• Без невиправданої затримки: Уражені користувачі будуть повідомлені електронною поштою з чіткою інформацією про характер порушення, уражені дані, вжиті заходи та рекомендовані дії.
• Протягом 1 місяця: Подано фінальний звіт до відповідних органів з аналізом причин та превентивними заходами.

07 Архітектура безпеки

InfoPeak застосовує такі заходи безпеки в рамках нашої відданості Cyber Resilience Act (CRA):

• Шифрування в спокої: Ваш вміст шифрується за допомогою AES-256-GCM. Ключі виводяться у вашому браузері за допомогою PBKDF2-SHA256 (210 000 ітерацій) і ніколи не потрапляють на наші сервери.
• Шифрування під час передачі: TLS 1.3 для всіх з'єднань.
• Архітектура zero-knowledge: Особисті ключі шифрування походять на стороні клієнта. InfoPeak не має доступу до вашого зашифрованого вмісту.
• Лише хостинг в ЄС: Вся інфраструктура розташована в Європейському Союзі.
• Регулярні оновлення безпеки: Залежності та інфраструктура постійно моніторяться та оновлюються.

08 Поза обсягом

Наведене нижче реєструється, але не розглядається як вразливість. Повідомлення, що охоплюють лише ці пункти, не отримують окремої відповіді:

• Відсутні заголовки безпеки без доведеної експлуатації - наприклад CSP, HSTS або X-Frame-Options на сторінках без чутливого вмісту.
• Налаштування SPF, DKIM і DMARC та інші рекомендації щодо DNS без доведеного спуфінгу.
• Self-XSS і атаки, які вимагають, щоб жертва сама вставила код у власну консоль браузера.
• Clickjacking на сторінках без дій, що змінюють стан.
• Відсутність обмеження частоти запитів на кінцевих точках, які не автентифікують і не надсилають пошту.
• Розкриття версій і технологій та повідомлення про застарілі бібліотеки без доведеного шляху атаки.
• Результати автоматичних сканерів без перевіреної та відтворюваної експлуатації.
• Відмова в обслуговуванні, об'ємні атаки, соціальна інженерія та фізичний доступ.

09 Вимоги до повідомлення

Повідомлення має бути читабельним і відтворюваним без додаткових запитань з нашого боку. Надішліть його текстом у самому листі:

• Уражена URL-адреса або кінцева точка та обліковий запис чи роль, з якими ви тестували.
• Кроки відтворення в письмовому вигляді. Лише відео недостатньо - ми не опрацьовуємо повідомлення, кроки яких є тільки у відеофайлі.
• Конкретний вплив. Які дані або дії стають доступними і для кого.
• Одна знахідка на повідомлення. Зведені повідомлення з кількома непов'язаними знахідками не сортуються.
• Без посилань на зовнішні файлові сервіси. Додавайте докази безпосередньо до листа.

Повідомлення, які не відповідають цим вимогам, закриваються без відповіді. Це не оцінка знахідки - ми не маємо ресурсу відтворювати повідомлення замість відправника.