AI STM Learning SRL, care activează sub numele stm.ai, primește cu deschidere rapoarte privind vulnerabilitățile de securitate care afectează CLARA. Această politică explică ce activități de cercetare autorizăm, cum ne puteți contacta și cum coordonăm cu cercetătorii remedierile și divulgarea publică.
Raportarea unei vulnerabilități
Trimiteți un e-mail la c@stm.ai cu subiectul CLARA security report (în limba engleză). Rapoartele pot fi redactate în limba engleză sau în limba română. Puteți folosi un pseudonim; o adresă de răspuns ne ajută să ne coordonăm cu dumneavoastră.
În cazul dovezilor sensibile, trimiteți mai întâi o scurtă descriere și solicitați-ne să stabilim o metodă de transfer adecvată. Nu includeți în e-mailul inițial date de autentificare valide, date cu caracter personal sau înregistrări ale clienților.
Responsabilitatea pentru securitate
Cosmin Stamate, CEO al AI STM Learning SRL, conduce funcția internă de securitate a produsului CLARA și coordonează evaluarea, remedierea și divulgarea vulnerabilităților. Rapoartele de securitate și solicitările privind coordonarea pot fi trimise la adresa c@stm.ai.
Domeniul de aplicare și permisiunea de testare
Acceptăm rapoarte privind software-ul CLARA dezvoltat sau întreținut de AI STM Learning SRL, inclusiv CLARA Core, agenții Audit de Securitate, Monitorizare Rețea și Protecție Browser, precum și componentele de dashboard, API și integrare ale CLARA, acolo unde sunt disponibile.
Cercetarea desfășurată în baza acestei politici se limitează la:
- Software-ul CLARA care rulează într-un mediu local pe care îl dețineți sau pentru care aveți autorizare expresă de testare.
- Conținutul și aplicațiile proprii (first-party) de pe clara.stm.ai operate de AI STM Learning SRL, utilizând exclusiv propriile dumneavoastră conturi și date de test și respectând măsurile de precauție de mai jos.
Testarea instalărilor clienților, a rețelelor clienților și a altor tenanți necesită permisiunea proprietarilor respectivi. Această politică nu autorizează testarea infrastructurii terților, a furnizorilor de modele, a site-urilor web către care există linkuri sau a altor produse și domenii stm.ai. Dacă nu știți sigur cine operează o componentă sau dacă testarea este permisă, contactați-ne înainte de a o testa.
Puteți totuși raporta o problemă suspectată într-o dependență sau o integrare a CLARA. Vom evalua efectul acesteia asupra CLARA și ne vom coordona cu responsabilul de întreținere (maintainer) relevant, atunci când este cazul.
Măsuri de precauție pentru cercetare
Utilizați metoda cea mai puțin intruzivă necesară pentru a demonstra problema. Vă rugăm să respectați următoarele:
- Mențineți un volum redus al testelor și evitați întreruperea serviciilor sau degradarea experienței altor utilizatori.
- Folosiți conturi și date pe care le controlați. Nu preluați, nu modificați, nu ștergeți și nu divulgați datele altei persoane.
- Opriți imediat testarea dacă întâlniți informații sensibile sau obțineți în mod neașteptat acces la mediul altui utilizator. Raportați ce s-a întâmplat fără a copia informații suplimentare.
- Nu folosiți inginerie socială, phishing, ghicirea datelor de autentificare, atacuri de refuz al serviciului (denial-of-service), malware, tehnici de persistență sau de mișcare laterală.
- Nu exploatați o problemă dincolo de dovezile minime necesare pentru a stabili impactul acesteia asupra securității.
- Păstrați confidențialitatea constatărilor nepublice și a oricăror date întâlnite accidental cât timp coordonăm un plan de divulgare.
Dacă un test necesită acces mai larg, trafic suplimentar sau o tehnică potențial perturbatoare, obțineți în prealabil permisiunea scrisă pentru acel test specific.
Ce informații să includeți
Un raport util precizează:
- Componenta CLARA afectată, versiunea sau build-ul, precum și URL-ul relevant sau tipul de implementare.
- Problema, impactul acesteia asupra securității și orice condiții prealabile sau privilegii de cont necesare pentru reproducerea ei.
- Pașii de reproducere și o dovadă de concept (proof of concept) minimă, din care au fost eliminate secretele și informațiile personale.
- Momentul în care ați descoperit problema și dacă aceasta pare să fie cunoscută public sau exploatată activ.
- Orice identificator CVE existent sau orice solicitare adresată unui alt coordonator.
- Metoda de contact preferată și dacă doriți ca contribuția dumneavoastră să fie recunoscută public.
Propunerile de remediere, o clasificare a tipului de slăbiciune sau o evaluare a severității sunt binevenite, dar opționale. Constatările generate de scanere sau de AI ar trebui să includă suficiente dovezi validate pentru ca noi să putem evalua impactul invocat. În cazul comportamentului AI, explicați ce limită de securitate este afectată, cum ar fi executarea neautorizată a unor instrumente, accesul la informații protejate sau ocolirea unui control de acces.
Răspuns și remediere
Ne propunem să respectăm următoarele termene-țintă. Zilele lucrătoare sunt cele din România.
| Etapă | Termen-țintă |
|---|---|
| Confirmarea primirii | În termen de 5 zile lucrătoare |
| Evaluarea inițială sau solicitarea de informații suplimentare | În termen de 15 zile lucrătoare |
| Actualizări privind progresul pentru o problemă deschisă și confirmată | Cel puțin o dată la 30 de zile calendaristice |
Prioritizăm problemele în funcție de impact, exploatabilitate și expunere. Vom discuta cu dumneavoastră datele preconizate pentru remediere și divulgare. Acestea sunt termene-țintă de comunicare, nu o garanție că fiecare problemă va fi remediată într-un anumit interval de timp.
Dacă nu ați primit o confirmare de primire în termenul-țintă, retrimiteți e-mailul având în subiect textul Follow-up: CLARA security report (în limba engleză). Dacă coordonarea rămâne în continuare nesoluționată, puteți solicita ajutorul unui coordonator de vulnerabilități sau al unui CSIRT adecvat.
Divulgare coordonată
Perioada noastră implicită de coordonare este de 90 de zile calendaristice de la primirea unui raport. Vom colabora cu dumneavoastră pentru a conveni asupra momentului publicării și asupra informațiilor de care utilizatorii au nevoie pentru a se proteja. O remediere, o măsură de atenuare, exploatarea activă sau o problemă deja cunoscută public pot justifica o publicare mai timpurie. Vom discuta cu dumneavoastră orice prelungire propusă și vom evita o amânare pe termen nedefinit.
Vă rugăm să ne acordați posibilitatea de a investiga înainte de a publica detalii despre modul de exploatare. Această solicitare de coordonare nu impune, drept condiție pentru raportarea unei probleme sau pentru solicitarea coordonării CVE, încheierea unui acord de confidențialitate, transferul drepturilor de proprietate intelectuală sau renunțarea la drepturi.
Avizele publice vor apărea pe pagina noastră de avize de securitate. Acolo unde este relevant, acestea vor explica versiunile afectate, impactul asupra securității, remedierile sau măsurile de atenuare, precum și identificatorul CVE asociat.
Cercetare de bună-credință
Considerăm că cercetarea care respectă această politică este autorizată în măsura în care AI STM Learning SRL poate acorda permisiunea pentru software-ul și sistemele afectate. Nu vom iniția acțiuni în justiție sau solicita autorităților de aplicare a legii deschiderea unei anchete exclusiv pe motivul unei cercetări de bună-credință desfășurate în aceste limite.
Acest angajament se aplică societății noastre și sistemelor pe care le controlăm. Nu putem acorda permisiuni în numele clienților, al furnizorilor sau al altor terți și nici nu putem lua decizii obligatorii pentru aceștia. Dacă întâlniți o limită neașteptată, opriți-vă și contactați-ne, pentru ca noi să putem clarifica permisiunea.
Coordonare CVE
AI STM Learning SRL a depus o cerere pentru a deveni autoritate de numerotare CVE (CVE Numbering Authority, CNA) de tip furnizor (vendor). Aprobarea este în așteptare; în prezent, nu suntem autorizați să atribuim identificatori CVE. Rapoartele și solicitările privind coordonarea CVE se transmit la aceeași adresă de contact, c@stm.ai. Atunci când este cazul, ne vom coordona cu o CNA autorizată.
Dacă vom fi desemnați, vom evalua vulnerabilitățile eligibile din domeniul nostru de aplicare aprobat, în conformitate cu regulile Programului CVE, vom verifica dacă există deja atribuiri și vom publica înregistrările corespunzătoare și referințele publice. Vom coordona problemele din amonte (upstream) cu responsabilul de întreținere sau cu CNA competentă. Vă rugăm să ne informați despre solicitările anterioare, pentru a evita atribuirile duplicate.
Dacă nu sunteți de acord cu o evaluare sau cu o înregistrare, contactați-ne și prezentați dovezi justificative. Vă vom explica raționamentul nostru și, atunci când este necesar, vom solicita asistența coordonatorului relevant al Programului CVE.
Confidențialitate și recunoaștere
Folosim informațiile din raport pentru a investiga, remedia și coordona problema. Accesul este limitat la persoanele implicate în această activitate. Putem comunica detaliile tehnice necesare responsabililor de întreținere afectați sau coordonatorilor de vulnerabilități și vom reduce la minimum informațiile personale din aceste comunicări.
Vă vom întreba înainte de a publica numele sau pseudonimul dumneavoastră și nu vom publica datele dumneavoastră de contact private. Vă rugăm să ne comunicați dacă preferați ca contribuția dumneavoastră să nu fie recunoscută public. Această politică nu oferă recompense financiare.
Întrebările privind această politică sau privind gestionarea unui raport pot fi trimise la c@stm.ai.