Normet-Richtlinie zur Meldung von Sicherheitslücken und Erwartungen an Meldungen in gutem Glauben

1. Zweck

Normet begrüßt Meldungen von Sicherheitslücken und damit verbundenen Cybersicherheitsabweichungen in gutem Glauben, die Produkte, Dienstleistungen und öffentlich zugängliche Ressourcen betreffen, die von Normet kontrolliert werden.

Diese Richtlinie erläutert, wie Sicherheitsprobleme an Normet gemeldet werden können, welche Arten von Aktivitäten Normet als im Rahmen einer Meldung in gutem Glauben betrachtet und wie Normet die Bearbeitung von Offenlegungen koordiniert. Diese Richtlinie zur koordinierten Offenlegung von Sicherheitslücken (Coordinated Vulnerability Disclosure, CVD) von Normet ist für die öffentliche Bereitstellung über eine Online-Ressource vorgesehen, beispielsweise über die öffentlich zugängliche Webseite normet.com/security.

Die meisten öffentlichen Webressourcen von Normet stellen außerdem eine Datei unter /.well-known/security.txt bereit. Diese Datei hilft Sicherheitsforschern dabei, den richtigen Ansprechpartner für Meldungen sowie den Speicherort dieser Richtlinie zu finden. Darüber hinaus kann sie dabei helfen, öffentliche Normet-Ressourcen zu identifizieren, die in den Geltungsbereich dieser Richtlinie fallen (security.txt → normet.com/security → PSIRT-Eingangspostfach/-Portal → Triage-Workflow).

2. Was gemeldet werden sollte

Sie können Folgendes melden:

Sicherheitslücken in Normet-Produkten mit digitalen Elementen
Sicherheitslücken in Komponenten von Drittanbietern, sofern die Schwachstelle ein Normet-Produkt betrifft
Sicherheitslücken oder Sicherheitsabweichungen in von Normet kontrollierten Websites, Domains, DNS-Konfigurationen, Zertifikaten, E-Mail-Sicherheitsdatensätzen und anderer öffentlicher Netzwerkinfrastruktur
Sicherheitslücken oder Sicherheitsabweichungen in von Normet verwalteten Hosting-Umgebungen und Diensten innerhalb des vereinbarten Verantwortungsbereichs von Normet
Erkenntnisse zu Normet-Produkten oder -Komponenten, die in Kundenlösungen oder Kundenumgebungen festgestellt wurden, sofern die Erkenntnis das Normet-Produkt oder die Normet-Komponente selbst betrifft

Wenn Sie unsicher sind, ob ein Problem oder eine Ressource in den Geltungsbereich dieser Richtlinie fällt, können Sie Normet unter security[at]normet.com kontaktieren.

3. Forschungsumfang und Erwartungen an Meldungen in gutem Glauben

Diese Richtlinie soll die Sicherheitsforschung und Meldung von Sicherheitslücken in gutem Glauben für von Normet kontrollierte Produkte, Dienstleistungen und öffentlich zugängliche Ressourcen unterstützen. Sie beschreibt die Arten von Aktivitäten und Zielsystemen, für die Normet bereit ist, Meldungen entgegenzunehmen und deren Bearbeitung zu koordinieren. Sie stellt keine allgemeine Genehmigung dar, beliebige Umgebungen zu testen, in denen Normet-Komponenten eingesetzt werden.

3.1 Geltungsbereich

Von Normet kontrollierte öffentlich zugängliche Produkte, Dienstleistungen und sonstige Ressourcen, die in dieser Richtlinie beschrieben werden, gehören zum vorgesehenen Geltungsbereich für Tests und Meldungen in gutem Glauben.
Kundenbetriebene oder kundeneigene Umgebungen fallen nicht in den Geltungsbereich von Tests gemäß dieser Richtlinie, auch dann nicht, wenn sie Normet-Produkte oder -Komponenten nutzen.
Normet erteilt keine Genehmigung zum Testen von Umgebungen, die einem Kunden gehören, und kann eine solche Genehmigung auch nicht im Namen eines Kunden erteilen.
Erkenntnisse zu Normet-Produkten oder -Komponenten, die während autorisierter Sicherheitsprüfungen in kundeneigenen oder kundenverwalteten Umgebungen festgestellt werden, können an Normet gemeldet werden.
Andere Systeme, Dienste oder Infrastrukturen von Drittanbietern, die nicht von Normet kontrolliert werden, fallen nicht in den Geltungsbereich von Tests gemäß dieser Richtlinie.

Bringt ein Kunde ein Endprodukt auf den Markt, das Normet-Komponenten und/oder Software enthält, verbleibt die Verantwortung als Hersteller des Endprodukts beim Kunden.

Die meisten öffentlichen Webressourcen von Normet stellen außerdem eine Datei unter /.well-known/security.txt bereit. Diese Datei hilft Sicherheitsforschern dabei, den richtigen Ansprechpartner sowie den Speicherort dieser Richtlinie zu finden und öffentlich zugängliche Normet-Ressourcen zu identifizieren, die unter den Geltungsbereich dieser Richtlinie fallen.

3.2 Erwartungen an Meldungen in gutem Glauben

Normet erwartet von Meldenden, die in gutem Glauben handeln, dass sie:

ihre Aktivitäten auf das beschränken, was zur Identifikation und Demonstration des Problems erforderlich ist
den Nachweis von SQL-Injections oder ähnlichen Datenbankzugriffsproblemen auf nicht sensible Informationen beschränken, beispielsweise auf Datenbankversionsinformationen, und keine Daten lesen, manipulieren, exfiltrieren, Berechtigungen ändern oder ähnliche Handlungen durchführen
den Nachweis einer Remote-Code-Ausführung auf nicht persistente Informationsbefehle beschränken, beispielsweise den Befehl „date“ oder einen Befehl zur Anzeige der Betriebssystemversion
keine dauerhafte Präsenz oder Persistenz in Normet-Systemen etablieren
keine Daten exfiltrieren, herunterladen, verändern, löschen oder anderweitig auf Daten zugreifen, soweit dies über das hinausgeht, was zur Demonstration des Problems unbedingt erforderlich ist
keine Denial-of-Service-Angriffe, Dienstbeeinträchtigungen, zerstörerische Auswirkungen, Malware-Verteilungen oder Erpressungsaktivitäten verursachen
keine Social-Engineering-, Phishing-, physischen Eindring- oder Zugangsdaten-Diebstahlversuche unternehmen
vor der Durchführung geplanter Aktivitäten Rücksprache mit Normet halten, falls diese grenzwertig sind oder nicht eindeutig unter diese Erwartungen fallen
keine Informationen über Sicherheitslücken öffentlich oder gegenüber Dritten offenlegen, bevor die koordinierte Bearbeitung ausreichend fortgeschritten ist, außer wenn eine Offenlegung gegenüber Traficom/NCSC-FI, einer anderen CSIRT, ENISA, einer anderen zuständigen Behörde oder aufgrund gesetzlicher oder sicherheitsrelevanter Anforderungen erforderlich ist
keine rein theoretischen Schwachstellen ohne praktischen Proof of Concept mit nachgewiesener tatsächlicher Ausnutzbarkeit melden, beispielsweise Clickjacking auf nicht interaktiven Informationsseiten oder fehlende Header ohne praktische Auswirkungen

Diese Erwartungen stellen keine allgemeine Genehmigung für Penetrationstests oder andere invasive Aktivitäten dar. Normet betreibt im Rahmen dieser Richtlinie kein öffentliches Bug-Bounty- oder Belohnungsprogramm.

4. Wie gemeldet werden kann

Die E-Mail-Adresse security[at]normet.com ist der primäre Kontaktpunkt von Normet für koordinierte Offenlegungen von Sicherheitslücken und basiert nicht ausschließlich auf automatisierten Werkzeugen.

Offenlegungen können ebenfalls über eine CSIRT koordiniert werden, einschließlich Traficom/NCSC-FI, sofern dies zutrifft. Soweit relevant, kann die offizielle Koordination auch ENISA oder andere zuständige Behörden einbeziehen.

Um Normet bei der Bewertung des Problems zu unterstützen, sollten nach Möglichkeit folgende Informationen bereitgestellt werden:

betroffenes Produkt, betroffener Dienst, URL, Domain, Komponente oder sonstige Ressource
Versionsinformationen, Umgebungsdetails oder relevante Identifikationsmerkmale
Schritte zur Reproduktion
mögliche Auswirkungen
Protokolle, Screenshots, Proof-of-Concept-Material oder andere unterstützende Nachweise
Ihre Kontaktdaten

5. Was Normet zusichert

Normet beabsichtigt:

einen klaren, durch Menschen betreuten Meldeweg über security[at]normet.com bereitzustellen
den Eingang von Meldungen in gutem Glauben innerhalb von drei Arbeitstagen zu bestätigen
die Meldung intern zu prüfen und zu klassifizieren
bei Bedarf zusätzliche Informationen anzufordern
das Anliegen an den geeigneten internen Bearbeitungsprozess weiterzuleiten
die Bearbeitung in gutem Glauben gemeinsam mit Meldenden zu koordinieren, die innerhalb dieser Richtlinie handeln, bevor gegebenenfalls eine öffentliche Offenlegung erfolgt
Sicherheitslücken zu validieren und gegebenenfalls zu beheben, bevor detaillierte Informationen an Dritte oder an die Öffentlichkeit weitergegeben werden

Normet legt keine festen Fristen für die Behebung gemeldeter Sicherheitsabweichungen fest, bemüht sich jedoch, entsprechend dem Risikoniveau des gemeldeten Problems ohne unangemessene Verzögerung zu handeln.

Normet stellt keine internen Details zum Behebungsprozess gemeldeter Sicherheitsabweichungen zur Verfügung.

Sofern rechtliche, regulatorische, kundenbezogene oder vorfallbezogene Verpflichtungen bestehen, kann es erforderlich sein, die Bearbeitung mit anderen Parteien zu koordinieren, einschließlich Kunden, Komponentenherstellern, NCSC-FI, anderen CSIRTs, ENISA, anderen zuständigen Behörden oder weiteren verantwortlichen Herstellern.

Einige Offenlegungen können eine vertrauliche Behandlung erfordern, solange die Validierung, Behebung, Kundenkoordination oder behördliche Koordination noch läuft.