Segnalare una vulnerabilità di sicurezza

Incluso nell'ambito: le applicazioni mobili Telvio, l'API e i server con cui comunicano, e questo sito web. Ci interessano in particolare tutti i problemi che potrebbero esporre i registri delle chiamate, il saldo del credito o l'identificativo di installazione di un utente, consentire di effettuare chiamate a spese di qualcun altro o modificare il numero mostrato durante una chiamata.

Escluso dall'ambito: i risultati di scanner automatici senza un impatto dimostrato; intestazioni di sicurezza mancanti senza conseguenze sfruttabili; qualsiasi problema che richieda l'accesso fisico a un dispositivo sbloccato; l'ingegneria sociale ai danni del nostro personale o dei nostri utenti; gli attacchi denial-of-service; i problemi nei servizi di terze parti che utilizziamo, da segnalare direttamente ai relativi fornitori; e le segnalazioni sull'assenza di una funzione — un limite di frequenza che potrebbe essere più rigido, un'opzione che non offriamo — anziché su un difetto di una funzione esistente.

Non effettuare test che possano avere conseguenze su altre persone. Non accedere, modificare o eliminare dati che non sono tuoi, non peggiorare il servizio per gli utenti, non effettuare chiamate a spese di un altro utente per dimostrare che puoi farlo e non usare strumenti automatici a un volume tale da equivalere a un test denial-of-service. Se ti servono un account o del credito per dimostrare qualcosa, chiedi e provvederemo a fornirli.

Il controllo di sicurezza più efficace a disposizione di un servizio per consumatori consiste nel non conservare i dati fin dall'inizio, ed è il principale controllo adottato qui. Non è prevista alcuna registrazione, quindi non esiste un database degli utenti: non esistono nomi, indirizzi email, numeri di telefono o password da rubare e non c'è nulla da attaccare con il credential stuffing, perché non esistono credenziali.

I pagamenti vengono elaborati interamente da Apple e Google. Non riceviamo mai un numero di carta, una data di scadenza, un indirizzo di fatturazione o altre credenziali di pagamento: riceviamo soltanto un identificativo firmato della ricevuta. Una compromissione dei nostri sistemi non potrebbe esporre uno strumento di pagamento, perché non ne viene conservato nessuno.

L'audio delle chiamate non viene mai registrato. Viene trasmesso in forma cifrata per tutta la durata della chiamata e in seguito non esiste più in alcuna forma. Gli elenchi dei contatti non vengono mai caricati: se l'app ottiene l'accesso ai contatti, l'elenco viene letto sul dispositivo per consentire di scegliere un numero e resta lì. La posizione precisa non viene mai raccolta.

Ciò che esiste, e che una violazione potrebbe quindi esporre, è indicato con chiarezza nell'informativa sulla privacy: un identificativo anonimo di installazione associato a un saldo, i registri delle chiamate del tipo contenuto in una bolletta telefonica, gli identificativi delle ricevute di acquisto e dati tecnici, compresi gli indirizzi IP. La segnalazione e l'audio delle chiamate sono cifrati durante il transito, così come tutto il traffico tra l'app e i nostri server, e l'accesso ai registri delle chiamate è limitato alle persone che ne hanno bisogno per gestire il servizio.

Ci vengono segnalate regolarmente tre situazioni che funzionano come previsto; dichiararlo qui fa risparmiare tempo a tutti.

Ogni chiamata mostra lo stesso numero. È una scelta intenzionale, descritta nella pagina dedicata, ed è l'opposto di una debolezza dell'identificativo del chiamante: l'app non offre alcun modo di presentare un altro numero, ed è proprio questa caratteristica a renderla inutilizzabile per la forma di impersonificazione su cui si basa la maggior parte delle frodi telefoniche.

Non esiste un accesso e questo non significa che manchi un controllo di autenticazione. Non esiste alcun account a cui autenticarsi. L'identificativo di installazione è un token bearer per un saldo di credito e viene trattato come tale; chiunque riesca a leggerlo da un dispositivo potrebbe spendere quel saldo, motivo per cui non viene mostrato se non nelle impostazioni e per cui la compromissione del dispositivo è esclusa dall'ambito.

L'app non può ricevere chiamate o messaggi. Una segnalazione secondo cui le chiamate in entrata non sono autenticate riguarda una funzione che non esiste. Non esiste alcun canale in entrata.

Nulla di tutto questo è obbligatorio e ogni elemento riduce la durata dello scambio. Una segnalazione che possiamo riprodurre è una segnalazione che possiamo risolvere; una segnalazione che non possiamo riprodurre diventa una conversazione, e le conversazioni sono più lente per tutti, compresa la persona che ha trovato il problema.

Una persona leggerà la segnalazione e risponderà entro cinque giorni lavorativi, di solito anche prima. La prima risposta dirà che abbiamo riprodotto il problema e indicherà indicativamente quando verrà risolto, oppure porrà l'unica domanda necessaria per riprodurlo, oppure spiegherà perché non riteniamo che si tratti di una vulnerabilità. Non chiudiamo le segnalazioni in silenzio e non inviamo un riscontro automatico per poi non fare più nulla.

Per qualsiasi problema con un impatto concreto, la correzione verrà distribuita e ti diremo quando sarà disponibile. Chiediamo un periodo ragionevole prima della pubblicazione — abbastanza lungo per correggere e distribuire la soluzione, compreso, per un'app mobile, un ciclo di revisione dell'app store al di fuori del nostro controllo — e ti diremo con sincerità se ci vorrà più del solito, invece di lasciare scadere una scadenza in silenzio.

Se non siamo d'accordo con te, lo diremo e ne spiegheremo il motivo, e sarai libero di rendere pubblico il disaccordo. Una policy di divulgazione che funziona solo quando il ricercatore è d'accordo con il fornitore non è una policy.