Aktywuj lub odnów podpis
Odnowienie podpisu elektronicznego
Aktywacja ODNOWIENIA e-podpisu Certum krok po kroku
Odnowienie e-podpisu
Zgłaszanie podatności
Bezpieczeństwo naszych użytkowników jest dla nas bardzo ważne. Jeśli zauważyłeś potencjalną podatność w naszych usługach lub powiązanych z nimi komponentach, zgłoś ją przez kanały wskazane poniżej.
Kanały zgłoszeń
Akceptujemy zgłoszenia następującymi kanałami
Plik security.txt (RFC 9116)
Zgłoś automatycznie poprzez kanały zdefiniowane w pliku security.txt
https://certum.pl/pl/.well-known/security.txt
Stosujemy model koordynowanego ujawniania podatności (Coordinated Vulnerability Disclosure) zgodny z normami ISO/IEC 29147:2018 i ISO/IEC 30111:2019.
Co zrobimy z Twoim zgłoszeniem
Potwierdzenie odbioru
W ciągu 3 dni roboczych potwierdzimy, że otrzymaliśmy Twoje zgłoszenie.
1- 2
Analiza wstępna
Przeanalizujemy wpływ zgłoszonej podatności na funkcje bezpieczeństwa produktu
Informacja zwrotna
W ciągu 3 dni roboczych od potwierdzenia odbioru przekażemy informację o dalszym postępowaniu (przyjęcie do obsługi, prośba o dodatkowe informacje lub uzasadnienie zamknięcia zgłoszenia).
3- 4
Naprawa i wydanie poprawki
W przypadku potwierdzenia podatności opracujemy i wdrożymy poprawkę zgodnie z naszą wewnętrzną procedurą zarządzania podatnościami. Termin zależy od oceny powagi (CVSS).
Publikacja advisory
Po wydaniu poprawki opublikujemy advisory w sekcji https://www.certum.pl/pl/bezpieczenstwo-podatnosci/ oraz powiadomimy zgłaszającego.
5
Co dołączyć do zgłoszenia
Aby przyspieszyć analizę, prosimy o przesłanie możliwie pełnego opisu:
Nazwa i wersja produktu
(SimplySign SAM, SmartSign),- środowisko, w którym zaobserwowano podatność (system operacyjny, konfiguracja sieci),
- szczegółowe kroki reprodukcji
(Proof of Concept), o ile to możliwe, - ocena potencjalnego
wpływu i kategoria podatności,
Bezpieczeństwo informacji o podatnościach
Informacje o zgłoszonych podatnościach klasyfikujemy zgodnie z Traffic Light Protocol (TLP, https://www.first.org/tlp/) i traktujemy jako poufne do czasu publikacji advisory. Komunikacja zewnętrzna w sprawie potwierdzonych podatności odbywa się wyłącznie po koordynacji ze zgłaszającym i — w stosownych przypadkach — z Jednostką Certyfikującą oraz Posiadaczem Certyfikatu EUCC.
Bezpieczna współpraca
ze zgłaszającymi
Zgłaszający, którzy działają w dobrej wierze:
- otrzymują potwierdzenie odbioru i informację o postępie obsługi,
- mogą zostać wymienieni w sekcji podziękowań po wydaniu poprawki (za ich zgodą),
- są chronieni przed działaniami prawnymi z naszej strony, o ile pozostają w granicach zakresu opisanego w VDP.