Melden einer Sicherheitslücke
Wenn Sie eine Schwachstelle in unserer App, unseren Servern oder dieser Website gefunden haben, möchten wir davon erfahren. Wir werden Sie nicht als Gegner behandeln, wenn Sie uns darauf hinweisen.
- Meldung an eine Adresse
- Keine rechtlichen Schritte bei Forschung in gutem Glauben
- Bestätigung innerhalb von 5 Werktagen
So melden Sie eine Sicherheitslücke
Senden Sie eine E-Mail mit dem Betreff Sicherheitslücke an [email protected]. Beschreiben Sie, was Sie gefunden haben, wo Sie es gefunden haben und wie es sich reproduzieren lässt. Falls ein Proof of Concept hilfreich ist, fügen Sie ihn bei. Betrifft er Daten einer anderen Person, beschreiben Sie ihn, anstatt ihn zu senden.
Wir bemühen uns, innerhalb von fünf Werktagen zu antworten. Wir bitten Sie, uns eine angemessene Frist zur Behebung eines Problems einzuräumen, bevor Sie es veröffentlichen, und den Zugriff auf die Daten anderer Personen, eine Beeinträchtigung des Dienstes oder ein Verhalten zu vermeiden, das einem Nutzer schaden könnte.
Gültig seit
Wozu wir uns verpflichten
- Eine Bestätigung innerhalb von fünf Werktagen – von einer Person und nicht als automatisierte Antwort.
- Eine ehrliche Einschätzung. Wenn wir der Meinung sind, dass eine Meldung keine Sicherheitslücke betrifft, erklären wir warum, anstatt sie kommentarlos zu schließen. Wenn wir zustimmen, teilen wir Ihnen ungefähr mit, wann wir die Lücke voraussichtlich beheben werden.
- Keine rechtlichen Schritte gegen gutgläubige Sicherheitsforschung, die im unten genannten Rahmen erfolgt. Wir werden keine Ansprüche gegen Forschende verfolgen oder unterstützen, die diese Richtlinie befolgen, und wir behandeln eine Meldung als Beitrag und nicht als Angriff.
- Eine Namensnennung, wenn Sie das möchten. Wenn die Behebung veröffentlicht wird, nennen wir Sie unter dem Namen oder Handle Ihrer Wahl. Wenn Sie lieber anonym bleiben möchten, nennen wir Ihren Namen nicht.
- Vertraulichkeit. Wir geben Ihre Identität ohne Ihre Zustimmung nicht an Personen außerhalb des Unternehmens weiter, es sei denn, wir sind gesetzlich dazu verpflichtet.
- Was wir nicht anbieten können: eine bezahlte Bug-Bounty. Wir sind ein kleines Unternehmen und haben kein Prämienprogramm. Wir sagen das lieber klar, als etwas anderes anzudeuten.
Geltungsbereich
Im Geltungsbereich: die mobilen Anwendungen von Telvio, die API und die Server, mit denen sie kommunizieren, sowie diese Website. Besonders relevant sind alle Schwachstellen, durch die Anrufdaten, das Guthaben oder die Installationskennung eines Nutzers offengelegt werden könnten, Anrufe auf Kosten einer anderen Person ermöglicht würden oder die bei einem Anruf angezeigte Nummer geändert werden könnte.
Nicht im Geltungsbereich: Ergebnisse automatisierter Scanner ohne nachgewiesene Auswirkungen; fehlende Sicherheits-Header ohne ausnutzbare Folgen; alles, wofür physischer Zugriff auf ein entsperrtes Gerät erforderlich ist; Social Engineering unserer Mitarbeitenden oder Nutzer; Denial-of-Service; Schwachstellen in von uns genutzten Diensten Dritter, die direkt an diese Dienste gemeldet werden sollten; sowie Meldungen über das Fehlen einer Funktion – etwa ein strenger zu begrenzendes Anfragelimit oder eine von uns nicht angebotene Option – statt über einen Fehler in einer vorhandenen Funktion.
Bitte testen Sie nicht auf eine Weise, die andere Personen beeinträchtigt. Greifen Sie nicht auf Daten zu, die nicht Ihnen gehören, und ändern oder löschen Sie solche Daten nicht. Beeinträchtigen Sie den Dienst nicht für andere Nutzer, tätigen Sie keine Anrufe auf Kosten eines anderen Nutzers, um zu beweisen, dass dies möglich ist, und verwenden Sie keine automatisierten Tools in einem Umfang, der einem Denial-of-Service-Test gleichkommt. Wenn Sie für einen Nachweis ein Konto oder Guthaben benötigen, fragen Sie uns, und wir stellen beides bereit.
Wie der Dienst begrenzt, was ein Sicherheitsvorfall offenlegen könnte
Die wirksamste verfügbare Sicherheitsmaßnahme für einen Verbraucherdienst besteht darin, die Daten gar nicht erst zu speichern. Genau das ist hier die wichtigste Maßnahme. Es gibt keine Registrierung und somit keine Nutzerdatenbank: Es existieren keine Namen, E-Mail-Adressen, Telefonnummern oder Passwörter, die gestohlen werden könnten. Außerdem gibt es keine Zugangsdaten, die durch Credential-Stuffing angegriffen werden könnten.
Die Zahlung wird vollständig von Apple und Google abgewickelt. Wir erhalten niemals eine Kartennummer, ein Ablaufdatum, eine Rechnungsadresse oder andere Zahlungsdaten – nur eine signierte Belegkennung. Ein Sicherheitsvorfall in unseren Systemen könnte kein Zahlungsmittel offenlegen, da keines gespeichert wird.
Anrufe werden niemals aufgezeichnet. Sie werden für die Dauer des Anrufs verschlüsselt übertragen und existieren danach in keiner Form mehr. Kontaktlisten werden niemals hochgeladen: Wenn die App Zugriff auf Kontakte erhält, wird die Liste auf dem Gerät gelesen, damit eine Nummer ausgewählt werden kann, und bleibt dort. Der genaue Standort wird niemals erfasst.
Welche Daten existieren und was ein Sicherheitsvorfall daher offenlegen würde, ist in der Datenschutzerklärung ehrlich beschrieben: eine anonyme Installationskennung mit einem Guthaben, Anrufdaten der Art, wie sie auf einer Telefonrechnung stehen, Belegkennungen von Käufen sowie technische Daten einschließlich IP-Adressen. Die Signalisierung und Audiodaten von Anrufen werden bei der Übertragung verschlüsselt, ebenso der gesamte Datenverkehr zwischen der App und unseren Servern. Der Zugriff auf Anrufdaten ist auf die Personen beschränkt, die ihn für den Betrieb des Dienstes benötigen.
Sicherheitsfragen, die keine Schwachstellen sind
Drei Dinge werden regelmäßig gemeldet, funktionieren aber wie vorgesehen. Es spart allen Zeit, sie hier zu nennen.
Bei jedem Anruf wird dieselbe Nummer angezeigt. Das ist beabsichtigt, auf einer eigenen Seite veröffentlicht und das Gegenteil einer Schwachstelle bei der Anrufer-ID: Die App bietet keine Möglichkeit, eine andere Nummer anzuzeigen. Genau diese Eigenschaft macht sie für die Identitätsvortäuschung unbrauchbar, auf der der größte Teil des Telefonbetrugs beruht.
Es gibt keine Anmeldung, und das ist keine fehlende Authentifizierungskontrolle. Es gibt kein Konto, bei dem eine Authentifizierung erforderlich wäre. Die Installationskennung ist ein Bearer-Token für ein Guthaben und wird auch als solcher behandelt. Jede Person, die sie von einem Gerät auslesen könnte, könnte dieses Guthaben ausgeben. Deshalb wird sie nur in den Einstellungen angezeigt, und deshalb liegt eine Kompromittierung des Geräts außerhalb des Geltungsbereichs.
Die App kann keine Anrufe oder Nachrichten empfangen. Eine Meldung, dass eingehende Anrufe nicht authentifiziert werden, betrifft eine Funktion, die nicht existiert. Es gibt überhaupt keinen eingehenden Kommunikationsweg.
Was eine hilfreiche Meldung enthält
Nichts davon ist erforderlich, aber alles verkürzt den Austausch. Eine Meldung, die wir reproduzieren können, können wir beheben. Eine Meldung, die wir nicht reproduzieren können, führt zu einem Gespräch, und Gespräche dauern für alle Beteiligten länger – auch für die Person, die das Problem gefunden hat.
- Wo das Problem auftritt – in der App und ihrer Version, an einem API-Endpunkt oder unter einer URL auf dieser Website. Diese drei Bereiche haben intern unterschiedliche Zuständigkeiten. Wenn wir wissen, welcher Bereich betroffen ist, können wir die Meldung sofort weiterleiten.
- Was Sie der Reihe nach getan haben. Die Schritte, die eine andere Person ausführen müsste, um dasselbe zu sehen. Eine Abfolge von Anfragen ist ideal; eine Beschreibung der Art des Problems ist ebenfalls hilfreich.
- Was Sie gesehen haben und was Sie stattdessen erwartet hätten. Dieser Teil unterscheidet eine tatsächliche Feststellung von der Einschätzung eines Scanners.
- Was ein Angreifer damit tun könnte. Wir erwarten keine vollständige Exploit-Kette, sondern einen Satz zu den realistischen Auswirkungen. Davon hängt ab, wie schnell das Problem behoben wird.
- Ob Sie genannt werden möchten und unter welchem Namen oder Handle. Wir verwenden genau die Angabe, die Sie machen – auch keine.
- Nicht die Daten anderer Personen. Wenn Ihre Feststellung die Daten einer anderen Person betrifft, beschreiben Sie das Problem, anstatt die Daten zu senden. Wir wollen diese Daten nicht, und Sie sollten sie nicht aufbewahren.
Was passiert, nachdem Sie die Meldung gesendet haben
Eine Person liest die Meldung und antwortet innerhalb von fünf Werktagen, meistens früher. In der ersten Antwort steht entweder, dass wir das Problem reproduziert haben und wann es ungefähr behoben wird, oder wir stellen die eine Frage, die wir für die Reproduktion benötigen, oder wir erklären, warum wir nicht glauben, dass es sich um eine Sicherheitslücke handelt. Wir schließen Meldungen nicht kommentarlos und senden keine automatisierte Bestätigung, auf die dann nichts mehr folgt.
Bei Problemen mit tatsächlichen Auswirkungen wird die Behebung veröffentlicht, und wir teilen Ihnen mit, dass dies geschehen ist. Wir bitten vor einer Veröffentlichung um einen angemessenen Zeitraum – lang genug für die Behebung und Veröffentlichung. Bei einer mobilen App umfasst das auch eine Prüfungsrunde im App Store, auf die wir keinen Einfluss haben. Wenn es länger als üblich dauern wird, teilen wir Ihnen das ehrlich mit, anstatt eine Frist kommentarlos verstreichen zu lassen.
Wenn wir anderer Meinung sind, sagen wir Ihnen das und erklären warum. Sie können diese Uneinigkeit selbstverständlich veröffentlichen. Eine Richtlinie zur Offenlegung, die nur funktioniert, wenn die forschende Person dem Anbieter zustimmt, ist keine Richtlinie.
Fazit
Senden Sie eine E-Mail an [email protected] mit dem Betreff “Sicherheitslücke”. Beschreiben Sie darin, was Sie gefunden haben und wie sich das Problem reproduzieren lässt. Sie erhalten innerhalb von fünf Werktagen eine Bestätigung von einer Person.
Gutgläubige Sicherheitsforschung im oben genannten Rahmen zieht keine rechtlichen Schritte nach sich. Wenn Sie möchten, nennen wir Sie als Urheber. Es gibt keine bezahlte Prämie, und wir sagen das lieber ausdrücklich, als etwas anderes anzudeuten.
Der Dienst ist so konzipiert, dass er nur sehr wenige Daten speichert: keine Konten, keine Passwörter, keine Zahlungsdaten, keine Gesprächsaufzeichnungen, keine Kontaktlisten und keine Standortdaten. Diese Sicherheitsmaßnahme leistet den größten Teil der Arbeit.
Häufig gestellte Fragen
Wie melde ich Telvio eine Sicherheitslücke?
Senden Sie eine E-Mail an [email protected] mit dem Betreff „Security vulnerability“ und beschreiben Sie, was Sie gefunden haben, wo es auftritt und mit welchen Schritten es sich reproduzieren lässt. Wir bemühen uns, innerhalb von fünf Werktagen den Eingang zu bestätigen, und bitten um angemessene Zeit, um ein Problem zu beheben, bevor es veröffentlicht wird.
Hat Telvio ein Bug-Bounty-Programm?
Nein. Es gibt kein bezahltes Prämienprogramm. Wir verpflichten uns zu einer Rückmeldung von einer Person, einer ehrlichen Einschätzung, einer Nennung, wenn Sie dies wünschen, und dazu, bei Sicherheitsforschung nach bestem Wissen und innerhalb des Geltungsbereichs keine rechtlichen Schritte einzuleiten.
Wird Telvio rechtliche Schritte gegen Sicherheitsforscher einleiten?
Nicht bei Sicherheitsforschung nach bestem Wissen und innerhalb des veröffentlichten Geltungsbereichs. Wir werden keinen Anspruch gegen eine Forscherin oder einen Forscher verfolgen oder unterstützen, die oder der diese Richtlinie befolgt, nicht auf die Daten anderer Personen zugreift und die Leistung des Dienstes nicht beeinträchtigt.
Welche Daten wären bei einem Angriff auf die Systeme von Telvio offengelegt?
Eine anonyme Installationskennung mit einem Guthaben, Gesprächsdaten, wie sie auf einer Telefonrechnung stehen, Kennungen von Kaufbelegen sowie technische Daten einschließlich IP-Adressen. Es gibt keine Namen, E-Mail-Adressen, Telefonnummern, Passwörter, Zahlungsdaten, Gesprächsaufzeichnungen, Kontaktlisten oder Standortdaten, die offengelegt werden könnten.
Sind Anrufe über Telvio verschlüsselt?
Die Anrufsignalisierung und das Audio werden während der Übertragung verschlüsselt, ebenso der gesamte Datenverkehr zwischen der App und den Servern. Der letzte Abschnitt jedes Anrufs an eine gewöhnliche Telefonnummer wird über das herkömmliche Telefonnetz abgewickelt, das außerhalb der Kontrolle der App liegt und nicht Ende-zu-Ende verschlüsselt ist — das gilt für jeden Dienst, der eine echte Telefonnummer anruft.
Warum hat Telvio kein Passwort?
Weil es kein Konto gibt. Es wird nichts registriert, daher gibt es keine Zugangsdaten, die geschützt werden müssten, und nichts, das durch Credential-Stuffing angegriffen werden könnte. Die Installationskennung dient als Bearer-Token für das Guthaben. Deshalb gilt eine Kompromittierung des Geräts als nicht vom Geltungsbereich umfasst.
Wie lange sollte ich warten, bevor ich eine Sicherheitslücke veröffentliche?
So lange, bis eine Fehlerbehebung entwickelt und veröffentlicht werden kann. Bei einer mobilen App gehört dazu ein App-Store-Prüfzyklus, den wir nicht kontrollieren. Wir teilen Ihnen in der ersten Antwort unseren voraussichtlichen Zeitplan mit und informieren Sie ehrlich, falls er sich verzögert, anstatt eine Frist kommentarlos verstreichen zu lassen.
Informiert Telvio mich, wenn ein gemeldetes Problem behoben wurde?
Ja. Wir schließen Meldungen nicht kommentarlos. In der ersten Antwort bestätigen wir entweder, dass wir das Problem reproduzieren konnten, und nennen einen groben Zeitplan, stellen die eine notwendige Frage zur Reproduktion oder erklären, warum wir es nicht als Sicherheitslücke betrachten.
