»
Bei Eye hat die Sicherheit unserer Systeme höchste Priorität. Wir sind bestrebt, ein hohes Sicherheitsniveau aufrechtzuerhalten, sind uns jedoch bewusst, dass kein System jemals vollkommen sicher sein kann. Sollten Sie eine Sicherheitslücke entdecken, bitten wir Sie, uns diese verantwortungsbewusst zu melden.
Wir betreiben ein Programm zur Offenlegung von Sicherheitslücken (VDP) auf HackerOne. Sie können Ihre Befunde direkt über security@eye.security einreichen. Für Sicherheitslücken mit hohem und kritischem Schweregrad senden wir Ihnen als Zeichen unserer Wertschätzung exklusive Eye-Fanartikel zu.
Safe Harbor
Wir begrüßen und respektieren die Arbeit von Sicherheitsforschern. Wir betrachten Aktivitäten, die in gutem Glauben und im Einklang mit dieser Richtlinie durchgeführt werden, als zulässiges Verhalten und werden keine rechtlichen Schritte gegen Sie einleiten.
Sollte ein Dritter im Zusammenhang mit Aktivitäten, die unter diese Richtlinie fallen, rechtliche Schritte gegen Sie einleiten, werden wir bestätigen, dass Ihre Handlungen im Einklang mit dieser Richtlinie erfolgten. Bitte beachten Sie jedoch Folgendes:
· Wir können keine Sicherheitsforschung an der Infrastruktur von Drittanbietern genehmigen
· Dritte sind nicht an diesen Safe-Harbor-Schutz gebunden
Geltungsbereich
Diese Richtlinie gilt für alle Systeme und Dienste, die sich im Besitz von Eye befinden oder von Eye verwaltet werden und über das Internet zugänglich sind. Dazu gehören unter anderem die folgenden Ressourcen:
- Bereiche:
agent.eye.security
api.app.eyeunderwriting.eu
api.control.eye.security
api.integrations.eye.security
api.portal.eye.security
app.eyeunderwriting.eu
apply.underwriting.eye.security
checker.apps.eye.security
control-plane.eye.security
eye-auth.apps.eye.security
Wachposten.Auge.Sicherheit
mdr-dashboard.apps.eye.security
onboarding.eye.security
portal.eye.securityresearch.eye.security
tiramisu.eye.security
mit-Kaffee.Tiramisu.Auge.Sicherheit
- Von Eye direkt verwaltete IP-Bereiche und Infrastruktur
- Selbst gehostete Dienste, Cloud-Infrastruktur und APIs unter der Kontrolle von Eye
Nicht Gegenstand dieser Regelung:
- Systeme, die sich im Besitz von Kunden oder Lieferanten befinden
- Unsere Marketing-Websites, darunter (www.)eye.security
- SaaS-Plattformen von Drittanbietern, die nicht von Eye gehostet oder verwaltet werden, auch wenn diese eine Domain nutzen, die sich im Besitz von Eye befindet
- Fehlende Sicherheits-Header und Sicherheitslücken im E-Mail-Verkehr
Sollten Sie sich nicht sicher sein, ob ein Vermögenswert in den Geltungsbereich fällt, wenden Sie sich bitte an uns unter security@eye.security.
Sicherheitslücken, die nicht in den Untersuchungsumfang fallen
Die folgenden Punkte fallen nicht in den Geltungsbereich und kommen für eine Anerkennung nicht in Betracht:
- CSRF ohne nachweisbare Auswirkungen
- Abmelden CSRF
- Probleme mit den Passwortrichtlinien
- Fehlerhafte Konfigurationen von SPF, DKIM, DMARC und ähnlichen E-Mail-Richtlinien
- Clickjacking
- Fehlende Sicherheits-Header, die nicht direkt ausgenutzt werden können
- Offene Weiterleitungen
- Selbst-XSS
- Hinweise zu Bannern
- Offene Ports ohne damit verbundene Sicherheitslücken
- Testen von SaaS-Plattformen von Drittanbietern
- Social Engineering oder physisches Eindringen
- Credential-Stuffing- oder Brute-Force-Angriffe
Richtlinien für die Berichterstattung
Bitte melden Sie Sicherheitslücken über unser HackerOne-VDP oder senden Sie uns eine E-Mail an security@eye.security (PGP-Schlüssel finden Sie auf unserer Website).
Die Berichte sollten Folgendes enthalten:
- Eine klare Beschreibung der Sicherheitslücke
- Schritte zur Reproduktion Betroffene URLs oder IP-Adressen
- Proof of Concept (falls zutreffend)
Leitlinien für die Forschung
Wir bitten Sie um Folgendes:
- Respektieren Sie die Privatsphäre anderer und vermeiden Sie es, auf Daten zuzugreifen oder diese zu vernichten, sofern dies nicht unbedingt erforderlich ist, um die Sicherheitslücke zu bestätigen.
- Beschränken Sie die Ausnutzung auf das Maß, das zum Nachweis der Sicherheitslücke erforderlich ist
- Bitte stellen Sie die Tests unverzüglich ein und benachrichtigen Sie uns, falls Sie auf sensible Daten (d. h. Unternehmens- oder Kundendaten) stoßen.
- Bitte gewähren Sie uns eine angemessene Frist, um gemeldete Sicherheitslücken zu beheben, bevor Sie diese öffentlich oder gegenüber Dritten bekannt geben.
- Bitte besprechen Sie Sicherheitslücken (einschließlich bereits behobener) nicht außerhalb dieses Programms, es sei denn, Sie verfügen über eine ausdrückliche schriftliche Genehmigung.
- Konzentrieren Sie sich auf aussagekräftige Ergebnisse; vermeiden Sie die Einreichung umfangreicher Berichte von geringer Qualität
Was Sie von uns erwarten können
- Bestätigung des Eingangs Ihrer Meldung innerhalb von 5 Werktagen
- Transparente Kommunikation während des gesamten Sanierungsprozesses
- Abstimmung mit den zuständigen Behörden (z. B. NCSC-NL), falls erforderlich
- Ihre Identität wird vertraulich behandelt, es sei denn, Sie erteilen Ihre Zustimmung zur Weitergabe.
Fragen
Fragen zu dieser Richtlinie können an folgende Adresse gerichtet werden: security@eye.security gerichtet werden. Wir laden Sie außerdem ein, sich mit Vorschlägen zur Verbesserung dieser Richtlinie an uns zu wenden.