Comunicação de vulnerabilidades e problemas de segurança de produtos

Se detetar uma vulnerabilidade ou qualquer potencial problema de cibersegurança num produto FAKRO, comunique-o seguindo as instruções abaixo. Isto aplica-se, em particular, a produtos como:

• dispositivos eletrónicos;

• controladores;

• unidades de controlo;

• produtos com comunicação sem fios;

• aplicações móveis;

• aplicações Web utilizadas para controlar ou gerir os produtos;

• firmware e software incorporado;

• interfaces de comunicação e serviços associados aos produtos.

Todas as comunicações de vulnerabilidades são analisadas pela equipa de segurança de produtos da FAKRO.

As comunicações relativas a uma vulnerabilidade ou a outro problema de cibersegurança dos nossos produtos devem ser enviadas por e-mail para o endereço: psirt@fakro.com

Se enviar informações confidenciais ou código que demonstre como a vulnerabilidade pode ser explorada, poderá encriptar a mensagem utilizando a nossa chave PGP.

Ligação para a chave pública: PGP

Para que a comunicação possa ser analisada de forma eficiente, deverá fornecer as seguintes informações:

• número de série do produto;

• descrição do problema observado;

• passos para reproduzir o problema, caso sejam conhecidos;

• informações sobre as possíveis consequências da vulnerabilidade;

• os seus dados de contacto (e-mail e número de telefone), para que possamos entrar em contacto consigo.

O número de série é o principal identificador do produto. Com base neste número, podemos determinar, entre outras informações, o modelo do produto e as versões de hardware e software que lhe estão associadas.

Recomendamos também que anexe uma fotografia da placa de identificação. Isto ajudará a reduzir o risco de interpretação incorreta do número de série.

Poderá também anexar materiais adicionais que facilitem a análise do problema, tais como:

• fotografias ou capturas de ecrã;

• gravações;

• registos do sistema;

• ficheiros de configuração;

• mensagens de exemplo ou pacotes de rede;

• relatórios de testes;

• uma prova de conceito (PoC, Proof of Concept), que demonstre como reproduzir a vulnerabilidade.

Não é necessário preparar um exploit nem classificar a vulnerabilidade por sua conta. Basta descrever o problema detetado da forma mais precisa possível.

Após recebermos a comunicação:

1. confirmaremos a sua receção;

2. verificaremos se as informações fornecidas estão completas;

3. realizaremos uma análise técnica;

4. entraremos em contacto consigo, se necessário;

5. determinaremos as medidas corretivas e a forma de reduzir o risco;

6. informá-lo-emos sobre o progresso ou o resultado da análise, na medida do possível.

Confirmaremos a receção da comunicação no prazo máximo de 3 dias úteis. O tempo necessário para concluir a análise depende da complexidade do problema, da disponibilidade do produto, da necessidade de realizar testes e do âmbito das medidas corretivas necessárias.

Ao testar e comunicar vulnerabilidades, respeite os seguintes princípios:

• não aceda aos dados de outras pessoas;

• não copie, elimine nem altere dados que não lhe pertençam;

• não perturbe o funcionamento de produtos, serviços ou infraestruturas;

• não realize testes em dispositivos de clientes sem o seu consentimento expresso;

• não explore vulnerabilidades para obter benefícios ou causar danos;

• não publique detalhes da vulnerabilidade antes de ser acordada uma data para a sua divulgação;

• forneça apenas as informações necessárias para a realização da análise.

Se, durante os testes, obtiver acesso acidental a dados pessoais, informações confidenciais ou sistemas de terceiros, interrompa imediatamente as suas atividades e descreva-nos a situação na comunicação.

Não publique informações que permitam explorar a vulnerabilidade antes da conclusão da respetiva análise e da implementação das medidas corretivas adequadas.

Caso a vulnerabilidade seja confirmada, poderemos acordar consigo:

• a data de publicação das informações;

• o âmbito dos detalhes a divulgar;

• a forma de reconhecer ou creditar a pessoa que comunicou a vulnerabilidade (os seus dados apenas serão divulgados com o seu consentimento);

• a publicação de um aviso de segurança;

• a atribuição de um identificador CVE, quando se justificar.

Se a comunicação estiver relacionada com a segurança de um sítio Web, da infraestrutura informática, de contas de utilizadores ou de sistemas internos da FAKRO, contacte-nos através de: cybersecurity@fakro.pl

Contacto:

Equipa responsável pela segurança dos produtos: FAKRO PSIRT
E-mail: psirt@fakro.com
Chave PGP: PGP KEY

As informações de contacto destinadas a investigadores de segurança também estão disponíveis em: security.txt