Zgłaszanie luk w zabezpieczeniach

W zakresie: aplikacje mobilne Telvio, API i serwery, z którymi się komunikują, oraz ta strona internetowa. Szczególnie interesuje nas wszystko, co mogłoby ujawnić rejestry połączeń użytkownika, stan środków lub identyfikator instalacji, umożliwić wykonywanie połączeń na koszt innej osoby albo pozwolić zmienić numer wyświetlany podczas połączenia.

Poza zakresem: wyniki automatycznych skanerów bez wykazanego wpływu; brak nagłówków bezpieczeństwa bez możliwych do wykorzystania konsekwencji; wszystko, co wymaga fizycznego dostępu do odblokowanego urządzenia; inżynieria społeczna wymierzona w naszych pracowników lub użytkowników; odmowa usługi; problemy w usługach stron trzecich, z których korzystamy, które należy zgłaszać bezpośrednio ich dostawcom; oraz zgłoszenia dotyczące braku funkcji — na przykład limitu zapytań, który mógłby być bardziej rygorystyczny, albo opcji, której nie oferujemy — zamiast błędu w istniejącej funkcji.

Nie testuj proszę w sposób, który wpływa na inne osoby. Nie uzyskuj dostępu do danych, które do Ciebie nie należą, nie modyfikuj ich ani nie usuwaj, nie pogarszaj działania usługi dla użytkowników, nie wykonuj połączeń na koszt innego użytkownika tylko po to, by udowodnić, że jest to możliwe, i nie używaj narzędzi automatycznych na taką skalę, która stanowiłaby test odmowy usługi. Jeśli do zademonstrowania problemu potrzebujesz konta lub środków, napisz do nas, a to zorganizujemy.

Najskuteczniejszym zabezpieczeniem dostępnym dla usługi konsumenckiej jest nieprzechowywanie danych w pierwszej kolejności — i właśnie to jest tutaj głównym rozwiązaniem. Nie ma rejestracji, więc nie ma bazy użytkowników: nie istnieją żadne nazwiska, adresy e-mail, numery telefonów ani hasła, które można by ukraść. Nie ma też danych logowania, w które można by uderzyć metodą credential stuffing.

Płatności są w całości przetwarzane przez Apple i Google. Nigdy nie otrzymujemy numeru karty, daty ważności, adresu rozliczeniowego ani żadnych innych danych uwierzytelniających płatność — tylko podpisany identyfikator potwierdzenia. Włamanie do naszych systemów nie mogłoby ujawnić instrumentu płatniczego, ponieważ żaden nie jest przechowywany.

Dźwięk rozmów nigdy nie jest nagrywany. Jest przesyłany w zaszyfrowanej formie przez czas trwania połączenia, a później nie istnieje już w żadnej postaci. Listy kontaktów nigdy nie są przesyłane: jeśli aplikacja otrzyma dostęp do kontaktów, lista jest odczytywana na urządzeniu, aby można było wybrać numer, i pozostaje na urządzeniu. Dokładna lokalizacja nigdy nie jest zbierana.

To, co istnieje i co w związku z tym mogłoby zostać ujawnione w wyniku włamania, opisujemy uczciwie w polityce prywatności: anonimowy identyfikator instalacji przechowujący stan środków, rejestry połączeń w rodzaju tych znajdujących się na rachunku telefonicznym, identyfikatory potwierdzeń zakupów oraz dane techniczne, w tym adresy IP. Sygnalizacja połączeń i dźwięk są szyfrowane podczas przesyłania, podobnie jak cały ruch między aplikacją a naszymi serwerami, a dostęp do rejestrów połączeń mają tylko osoby, które potrzebują go do obsługi usługi.

Regularnie zgłaszane są trzy rzeczy, które działają zgodnie z założeniami. Warto opisać je tutaj, żeby oszczędzić wszystkim czasu.

Każde połączenie wyświetla ten sam numer. Jest to zamierzone, opisane na osobnej stronie i stanowi przeciwieństwo słabości identyfikacji numeru dzwoniącego: aplikacja nie pozwala wyświetlić żadnego innego numeru, dzięki czemu nie można jej użyć do podszywania się, na którym opiera się większość oszustw telefonicznych.

Nie ma logowania i nie oznacza to braku mechanizmu uwierzytelniania. Nie ma konta, do którego można by się uwierzytelnić. Identyfikator instalacji jest tokenem okaziciela zapewniającym dostęp do środków i jest tak traktowany; każda osoba, która mogłaby odczytać go z urządzenia, mogłaby wydać te środki. Dlatego nie jest wyświetlany poza ustawieniami, a przejęcie urządzenia pozostaje poza zakresem.

Aplikacja nie może odbierać połączeń ani wiadomości. Zgłoszenie, że połączenia przychodzące nie są uwierzytelniane, dotyczy funkcji, która nie istnieje. Nie ma żadnej ścieżki połączeń przychodzących.

Żaden z tych elementów nie jest wymagany, ale każdy skraca wymianę informacji. Zgłoszenie, które możemy odtworzyć, możemy naprawić; zgłoszenie, którego nie możemy odtworzyć, przeradza się w rozmowę, a rozmowy trwają dłużej dla wszystkich, także dla osoby, która znalazła problem.

Przeczyta je osoba, która odpowie w ciągu pięciu dni roboczych, zwykle wcześniej. Pierwsza odpowiedź albo potwierdzi, że odtworzyliśmy problem, i poda w przybliżeniu termin jego naprawy, albo zawrze jedno pytanie potrzebne do jego odtworzenia, albo wyjaśni, dlaczego nie uważamy go za podatność. Nie zamykamy zgłoszeń po cichu i nie wysyłamy automatycznego potwierdzenia, po którym nic się nie dzieje.

W przypadku problemu o rzeczywistym wpływie wdrażamy poprawkę i informujemy Cię o tym. Prosimy o rozsądny czas przed publikacją — wystarczający na naprawę i wydanie poprawki, przy czym w przypadku aplikacji mobilnej obejmuje to także cykl weryfikacji w sklepie z aplikacjami, na który nie mamy wpływu — i uczciwie powiemy, jeśli potrwa to dłużej niż zwykle, zamiast pozwolić, by termin minął w ciszy.

Jeśli się z Tobą nie zgodzimy, powiemy o tym i wyjaśnimy dlaczego, a Ty możesz opublikować tę rozbieżność. Polityka ujawniania informacji, która działa tylko wtedy, gdy badacz zgadza się z dostawcą, nie jest polityką.