Signaler une faille de sécurité

Dans le périmètre : les applications mobiles Telvio, l'API et les serveurs avec lesquels elles communiquent, ainsi que ce site web. Nous nous intéressons en particulier à tout ce qui pourrait exposer les historiques d'appels, le solde de crédit ou l'identifiant d'installation d'un utilisateur, permettre de passer des appels aux frais de quelqu'un d'autre ou permettre de modifier le numéro affiché lors d'un appel.

Hors périmètre : les résultats de scanners automatisés sans impact démontré ; les en-têtes de sécurité manquants sans conséquence exploitable ; tout ce qui nécessite un accès physique à un appareil déverrouillé ; l'ingénierie sociale visant nos employés ou nos utilisateurs ; les attaques par déni de service ; les problèmes concernant les services tiers que nous utilisons, qui doivent être signalés directement à ces services ; ainsi que les signalements portant sur l'absence d'une fonctionnalité — une limite de débit qui pourrait être plus stricte, une option que nous ne proposons pas — plutôt que sur un défaut d'une fonctionnalité existante.

Veuillez ne pas effectuer de tests susceptibles d'affecter d'autres personnes. N'accédez pas aux données qui ne sont pas les vôtres, ne les modifiez pas et ne les supprimez pas, ne dégradez pas le service pour les utilisateurs, ne passez pas d'appels aux frais d'un autre utilisateur pour prouver que vous le pouvez et n'utilisez pas d'outils automatisés à un volume équivalant à un test de déni de service. Si vous avez besoin d'un compte ou de crédit pour démontrer quelque chose, demandez-le-nous et nous vous en fournirons.

La mesure de sécurité la plus efficace dont dispose un service grand public consiste à ne pas détenir les données au départ, et c'est la principale mesure appliquée ici. Il n'y a pas d'inscription, donc il n'y a pas de base de données utilisateurs : aucun nom, aucune adresse e-mail, aucun numéro de téléphone ni aucun mot de passe n'existe pour être volé, et il n'y a rien à attaquer par bourrage d'identifiants puisqu'il n'y a pas d'identifiants.

Les paiements sont entièrement traités par Apple et Google. Nous ne recevons jamais de numéro de carte, de date d'expiration, d'adresse de facturation ni aucun autre identifiant de paiement — uniquement un identifiant de reçu signé. Une compromission de nos systèmes ne pourrait pas exposer un moyen de paiement, puisqu'aucun n'est stocké.

L'audio des appels n'est jamais enregistré. Il est transmis sous forme chiffrée pendant toute la durée de l'appel et n'existe plus ensuite, sous aucune forme. Les listes de contacts ne sont jamais importées : si l'accès aux contacts est accordé à l'app, la liste est lue sur l'appareil afin de sélectionner un numéro, et elle y reste. Les données de localisation précises ne sont jamais collectées.

Ce qui existe, et qu'une faille exposerait donc, est décrit honnêtement dans la politique de confidentialité : un identifiant d'installation anonyme associé à un solde, des historiques d'appels du type de ceux qui figurent sur une facture téléphonique, des identifiants de reçus d'achat et des données techniques, notamment les adresses IP. La signalisation et l'audio des appels sont chiffrés en transit, comme l'ensemble du trafic entre l'app et nos serveurs, et l'accès aux historiques d'appels est limité aux personnes qui en ont besoin pour exploiter le service.

Trois éléments nous sont régulièrement signalés alors qu'ils fonctionnent comme prévu, et il est plus simple pour tout le monde de le préciser ici.

Chaque appel affiche le même numéro. C'est volontaire, ce numéro est publié sur sa propre page, et c'est l'inverse d'une faiblesse de l'identification de l'appelant : l'app ne permet pas d'afficher un autre numéro, ce qui la rend inutilisable pour l'usurpation d'identité dont dépendent la plupart des fraudes téléphoniques.

Il n'y a pas de connexion, et il ne s'agit pas d'un contrôle d'authentification manquant. Il n'y a aucun compte auquel s'authentifier. L'identifiant d'installation est un jeton porteur donnant accès à un solde de crédit et est traité comme tel ; toute personne capable de le lire sur un appareil pourrait dépenser ce solde, raison pour laquelle il n'est affiché que dans les réglages et pour laquelle la compromission d'un appareil est hors périmètre.

L'app ne peut pas recevoir d'appels ni de messages. Un signalement indiquant que les appels entrants ne sont pas authentifiés porte sur une fonctionnalité qui n'existe pas. Il n'y a aucune voie entrante.

Rien de tout cela n'est obligatoire, mais chaque élément raccourcit les échanges. Un signalement que nous pouvons reproduire est un signalement que nous pouvons corriger ; un signalement que nous ne pouvons pas reproduire devient une conversation, et les conversations prennent plus de temps pour tout le monde, y compris pour la personne qui a découvert le problème.

Une personne le lit et vous répond sous cinq jours ouvrés, généralement plus tôt. La première réponse indique soit que nous avons reproduit le problème et approximativement quand il sera corrigé, soit pose l'unique question dont nous avons besoin pour le reproduire, soit explique pourquoi nous ne pensons pas qu'il s'agit d'une vulnérabilité. Nous ne clôturons pas les signalements sans explication et nous n'envoyons pas un accusé de réception automatisé pour ensuite ne plus donner de nouvelles.

Pour tout problème ayant un impact réel, le correctif est déployé et nous vous en informons. Nous demandons un délai raisonnable avant toute publication — suffisamment long pour corriger et déployer le correctif, ce qui inclut pour une app mobile un cycle de validation par un magasin d'applications indépendant de notre volonté — et nous vous dirons honnêtement si cela doit prendre plus de temps que d'habitude, plutôt que de laisser passer une échéance en silence.

Si nous ne sommes pas d'accord avec vous, nous vous le dirons et nous vous expliquerons pourquoi, et vous serez libre de publier ce désaccord. Une politique de divulgation qui ne fonctionne que lorsque le chercheur est d'accord avec le fournisseur n'est pas une politique.