Sicherheitslücke melden

Dies ist eine Übersetzung. Im Falle von Abweichungen ist die italienische Fassung maßgeblich.

Wenn Sie glauben, eine Sicherheitslücke in Walkie Desk gefunden zu haben, möchten wir davon erfahren. Diese Seite ist unsere Richtlinie zur koordinierten Offenlegung: Sie erklärt, wie Sie uns die Lücke melden, welche Regeln gelten und was Sie von uns erwarten können.

So melden Sie eine Lücke

Über das Formular Problem melden, mit der Auswahl «Eine Sicherheitslücke»;
oder per E-Mail an security@walkiedesk.app.

Derzeit veröffentlichen wir keinen PGP-Schlüssel: Wenn Sie einen verschlüsselten Kanal brauchen, um uns die Details zu senden, schreiben Sie uns, und wir vereinbaren einen. Wir lesen Meldungen auf Italienisch und Englisch.

Wird die Sicherheitslücke bereits ausgenutzt, schreiben Sie das an den Anfang Ihrer Nachricht: Wir behandeln sie vorrangig und melden sie, wie es der Cyber Resilience Act vorschreibt, an das CSIRT Italia und an die ENISA.

Welche Angaben wir brauchen

die Komponente (zum Beispiel Walkie Desk für Windows, Mac oder Linux, QuickSupport, Benutzerbereich, API) und ihre Version;
wenn das Problem in einer Bibliothek eines Drittanbieters liegt: welche und in welcher Version (die Liste finden Sie unter Softwarekomponenten);
eine Beschreibung des Problems und seiner Auswirkungen;
die Schritte, um es nachzustellen, und, falls vorhanden, einen Proof of Concept;
wie wir Sie erreichen und ob Sie im Sicherheitshinweis genannt werden möchten.

Senden Sie uns keine personenbezogenen Daten anderer Personen, die Sie bei Ihren Tests womöglich gesehen haben.

Geltungsbereich

Im Geltungsbereich

Walkie Desk für Windows, Mac und Linux: Setup oder Pakete, Dienst, Sitzungsprogramm, Taskleisten-App und Updates;
QuickSupport;
die Apps von Walkie Desk für Smartphone und Tablet;
der Benutzerbereich und der Viewer im Browser (walkiedesk.app/app/);
die APIs und das Signaling (walkiedesk.app/v1/);
der Koordinationsserver, der Relay-Server (turn.walkiedesk.app) und die Website walkiedesk.app.

Außerhalb des Geltungsbereichs

Denial-of-Service-Angriffe und Tests, die den Dienst für andere Nutzer beeinträchtigen;
Social Engineering gegenüber Mitarbeitenden von iDev oder gegenüber Nutzern, physische Angriffe;
bereits öffentlich bekannte Sicherheitslücken in Software von Drittanbietern ohne nachgewiesene Auswirkung auf Walkie Desk (melden Sie diese dem Hersteller);
Dienste anderer Unternehmen, die wir nutzen, etwa die Kartenzahlung oder den E-Mail-Versand (melden Sie es diesen);
Angriffe, die die vollständige Kontrolle über den PC oder Browser des Opfers voraussetzen, zum Beispiel als Administrator des PCs;
Ergebnisse automatischer Scanner ohne Nachweis einer Auswirkung;
fehlende Header oder Einstellungen ohne konkrete Auswirkung.

Regeln für Tests

Verwenden Sie nur eigene Konten und PCs oder solche, für deren Test Sie berechtigt sind.
Greifen Sie nicht auf Daten anderer zu, ändern oder löschen Sie sie nicht: Stoßen Sie auf solche Daten, hören Sie auf und melden Sie es uns.
Nutzen Sie die Sicherheitslücke nur so weit, wie es für den Nachweis nötig ist: Laden Sie keine Daten herunter, lassen Sie keine Zugänge offen und dringen Sie nicht in andere Systeme vor. Löschen Sie erlangte Daten, nachdem Sie uns die Lücke gemeldet haben.
Beeinträchtigen Sie den Dienst nicht (keine Denial-of-Service-Angriffe und keine Lasttests) und versenden Sie keinen Spam.
Kein Social Engineering, kein Phishing und kein physischer Zugang gegenüber Mitarbeitenden von iDev oder gegenüber Nutzern.
Machen Sie die Sicherheitslücke nicht öffentlich, bevor sie behoben ist oder bevor der mit uns vereinbarte Termin erreicht ist.

Richtwerte für die Fristen

Eingangsbestätigung: innerhalb von 5 Arbeitstagen
Erste Bewertung: innerhalb von 10 Arbeitstagen
Behebung schwerwiegender Sicherheitslücken: innerhalb von 90 Tagen ab der Meldung

Wir halten Sie über den Stand Ihrer Meldung auf dem Laufenden und vereinbaren mit Ihnen, wann sie veröffentlicht wird. Nach der Behebung veröffentlichen wir einen Sicherheitshinweis.

Guter Glaube

Wenn Sie uns eine Sicherheitslücke in gutem Glauben melden und diese Richtlinie einhalten, werden wir wegen Ihrer Forschung keine rechtlichen Schritte gegen Sie einleiten und die Behörden nicht dazu auffordern. Sollte ein Dritter wegen Tätigkeiten, die Sie im Einklang mit dieser Richtlinie ausgeführt haben, gegen Sie vorgehen, werden wir dies bekannt machen.

Nennung

Auf Wunsch nennen wir Sie mit dem Namen oder Pseudonym Ihrer Wahl im Sicherheitshinweis zur Behebung und auf der Seite Danksagungen. Die Nennung ist freiwillig. Derzeit bieten wir keine Geldprämien an (Bug Bounty).

Diese Richtlinie ist Teil des Umgangs von Walkie Desk mit Sicherheitslücken nach der Verordnung (EU) 2024/2847 (Cyber Resilience Act). Der maschinenlesbare Verweis ist security.txt. Wie wir die Daten der Meldungen verarbeiten: Datenschutzerklärung.