Responsible Disclosure Beleid

Bij NRG PALLAS vinden we de veiligheid van onze systemen en gegevens belangrijk. Ondanks alle voorzorgsmaatregelen kan het gebeuren dat een kwetsbaarheid aanwezig is. Ontdekt u een kwetsbaarheid in een systeem van NRG PALLAS? Dan verzoeken wij u dit op verantwoorde wijze aan ons te melden zodat wij passende maatregelen kunnen treffen.

Wat kunt u melden?

U kunt beveiligingskwetsbaarheden melden die een risico vormen voor de vertrouwelijkheid, integriteit of beschikbaarheid van onze systemen en gegevens, zoals:

  • Mogelijkheden om ongeautoriseerd toegang te krijgen tot niet-openbare informatie of documenten;
  • Kwetsbaarheden waardoor gegevens via formulieren of andere onderdelen van de website kunnen worden ingezien, gewijzigd of verwijderd;
  • Beveiligingsproblemen in webformulieren, zoekfuncties of andere interactieve onderdelen van de website; en/of
  • Andere beveiligingslekken die een aantoonbaar beveiligingsrisico vormen.

Voorwaarden (Rules of Engagement)

Van de melder wordt verwacht dat deze:

  • de kwetsbaarheid niet publiceert, maar deze deelt met NRG PALLAS en ons de tijd geeft om het probleem op te lossen;
  • geen misbruik maakt van de kwetsbaarheid;
  • enkel een melding doet van kwetsbaarheden die vallen binnen de scope van dit beleid;
  • alleen technieken gebruikt die noodzakelijk zijn om de kwetsbaarheid aan te tonen en niet onnodig overlast veroorzaken;
  • niet herhaaldelijk (onnodig) toegang verkrijgt tot het systeem of deze toegang deelt met anderen;
  • voldoende informatie geeft over de kwetsbaarheid zodat deze gericht kan worden aangepakt; en
  • het systeem en/of de data in dat systeem niet kopieert, wijzigt en/of verwijdert.

Welke bevindingen vallen buiten scope van dit beleid?

Sommige bevindingen pakken we niet op als melding en zijn uitgesloten, bijvoorbeeld:

  • Distributed Denial of Service (DDoS) attacks;
  • Brute force attacks;
  • Social engineering- en phishingaanvallen gericht op medewerkers/klanten;
  • Meldingen over encryptie-instellingen die volgens de actuele NCSC-richtlijnen als “voldoende” en “goed” worden beschouwd, worden niet als kwetsbaarheid behandeld en vallen buiten de scope van dit beleid;
  • Oude versies van applicaties die (nog) niet kwetsbaar zijn;
  • Automatisch gegenereerde bulkrapportages zonder validatie, zonder reproductiestappen en zonder aantoonbare impact;
  • HTTP 404-codes/pagina’s of andere HTTP non-200-codes/pagina’s;
  • Fingerprinting/versiebanner-disclosure op algemene/publieke services;
  • Publiek toegankelijke bestanden en mappen met niet-gevoelige informatie (bijv. robots.txt);
  • Clickjacking en gerelateerde kwetsbaarheden;
  • CSRF op formulieren die beschikbaar zijn zonder sessie (bijv. een contactformulier/inlogformulier);
  • Cross-Site Request Forgery op uitlogfunctie;
  • Aanwezigheid van ‘autocomplete’- of ‘save password’-functionaliteit;
  • Ontbreken van ‘Secure’- of ‘HTTP Only’-vlaggen op niet-gevoelige cookies;
  • Zwakke CAPTCHA of CAPTCHA-omzeiling;
  • Username-/e-mailenumeratie door bruteforcepogingen via loginfoutmeldingen of ‘Wachtwoord vergeten?’-foutmeldingen;
  • Ontbreken van HTTP Security Headers zoals Strict-Transport-Security, X-Frame-Options, X-XSS-Protection, X-Content-Type-Options, Content-Security-Policy, X-Content-Security-Policy en X-WebKit-CSP;
  • Missing HTTP Public Key Pinning (HPKP);
  • Host Header Injection tenzij aantoonbare impact;
  • Aanwezigheid van geauthentiseerde FTP toegang;
  • Content spoofing/text injection op 404-pagina's;
  • Het lekken van informatie in metadata;
  • SSL-configuratiezwakheden: SSL-aanvallen die niet van buitenaf zijn te misbruiken, ontbrekende SSL Forward Secrecy en zwakke of onveilige SSL-ciphersuites;
  • Same Site Scripting / localhost DNS record;
  • WordPress-gerelateerde wp-cron.php-, p-json-gebruikerseindpunt- en xmlrpc.php-kwetsbaarheden, wanneer het misbruik hiervan beperkt blijft tot een zogenaamde ‘pingback denial-of-service’-aanval;
  • Fysieke/on-site aanvallen;
  • Spam/testberichten die overlast veroorzaken bij derden;
  • Rapporten die alleen theoretische kwetsbaarheden beschrijven zonder enige vorm van bewijs.

Hoe kunt u een melding doen?

Heeft u een kwetsbaarheid ontdekt? Meld deze via ons security.txt-bestand. Vermeld daarbij minimaal:

  • Welke kwetsbaarheid is gevonden;
  • De locatie (URL/IP/systeem) waar de kwetsbaarheid is gevonden en welke object(en) het betreft;
  • De stappen waarmee de kwetsbaarheid is gevonden, zodat dit kan worden gereproduceerd;
  • Screenshots ter verduidelijking;
  • Op welke wijze we contact met u op kunnen nemen (e-mail heeft de voorkeur).

Wat kunt u van ons verwachten?

Wanneer uw melding voldoet aan dit beleid, zal NRG PALLAS:

  • de ontvangst van uw melding bevestigen;
  • contact met u onderhouden over de voortgang;
  • voldoende maatregelen treffen om zorgvuldig om te gaan met de gegevens van de melder. Wij behandelen uw melding vertrouwelijk en delen persoonlijke gegevens niet zonder uw toestemming met derden, tenzij dit wettelijk of op grond van een rechterlijke uitspraak verplicht is; en
  • de persoonsgegevens van de melder verwijderen zodra de kwetsbaarheid is verholpen.

Waardering

NRG PALLAS waardeert meldingen van beveiligingskwetsbaarheden en de bijdrage van onderzoekers aan een veilige digitale omgeving. Het doel van dit beleid is om een veilige en verantwoorde meldroute voor kwetsbaarheden te bieden, niet om beveiligingsonderzoek financieel te stimuleren. Daarom kent NRG PALLAS geen financiële beloningen, vergoedingen of andere tegenprestaties toe voor meldingen die onder dit Responsible Disclosure beleid worden gedaan. Met uw hulp zorgen we voor een veiligere digitale wereld.