การรายงานช่องโหว่ด้านความปลอดภัย

อยู่ในขอบเขต: แอปพลิเคชันมือถือ Telvio, API และเซิร์ฟเวอร์ที่แอปสื่อสารด้วย รวมถึงเว็บไซต์นี้ สิ่งที่อาจเปิดเผยประวัติการโทร ยอดเครดิต หรือรหัสระบุการติดตั้งของผู้ใช้ ทำให้สามารถโทรโดยให้บุคคลอื่นเป็นผู้รับค่าใช้จ่าย หรือทำให้สามารถเปลี่ยนหมายเลขที่แสดงระหว่างการโทร ล้วนเป็นประเด็นที่เราให้ความสนใจเป็นพิเศษ

อยู่นอกขอบเขต: ผลการตรวจจากเครื่องมือสแกนอัตโนมัติที่ไม่ได้แสดงผลกระทบให้เห็นจริง; ส่วนหัวความปลอดภัยที่ขาดหายไปแต่ไม่มีผลที่นำไปใช้โจมตีได้; สิ่งใดก็ตามที่ต้องเข้าถึงอุปกรณ์ที่ปลดล็อกอยู่ทางกายภาพ; การใช้วิศวกรรมสังคมกับพนักงานหรือผู้ใช้ของเรา; การทำให้บริการไม่พร้อมใช้งาน; ปัญหาในบริการของบุคคลที่สามที่เราใช้ ซึ่งควรส่งรายงานไปยังผู้ให้บริการนั้นโดยตรง; และรายงานเกี่ยวกับการไม่มีฟีเจอร์ เช่น การจำกัดอัตราที่อาจเข้มงวดกว่านี้ได้ หรือตัวเลือกที่เราไม่มีให้บริการ แทนที่จะเป็นข้อบกพร่องในฟีเจอร์ที่มีอยู่

โปรดอย่าทดสอบในลักษณะที่ส่งผลกระทบต่อบุคคลอื่น ห้ามเข้าถึง แก้ไข หรือลบข้อมูลที่ไม่ใช่ของคุณ ห้ามทำให้บริการของผู้ใช้เสื่อมประสิทธิภาพ ห้ามโทรโดยให้ผู้ใช้รายอื่นเป็นผู้รับค่าใช้จ่ายเพียงเพื่อพิสูจน์ว่าคุณทำได้ และห้ามใช้เครื่องมืออัตโนมัติในปริมาณที่เทียบเท่ากับการทดสอบทำให้บริการไม่พร้อมใช้งาน หากคุณต้องการบัญชีหรือเครดิตเพื่อสาธิตบางสิ่ง โปรดแจ้งเรา แล้วเราจะจัดเตรียมให้

มาตรการควบคุมความปลอดภัยที่มีประสิทธิภาพที่สุดสำหรับบริการผู้บริโภคคือไม่เก็บข้อมูลนั้นไว้ตั้งแต่แรก และนี่คือมาตรการหลักที่ใช้กับบริการนี้ ไม่มีการลงทะเบียน จึงไม่มีฐานข้อมูลผู้ใช้ ไม่มีชื่อ ไม่มีที่อยู่อีเมล ไม่มีหมายเลขโทรศัพท์ และไม่มีรหัสผ่านให้ขโมย อีกทั้งไม่มีข้อมูลรับรองให้โจมตีด้วยการลองใช้ข้อมูลรับรองซ้ำจำนวนมาก เพราะไม่มีข้อมูลรับรองอยู่เลย

การชำระเงินดำเนินการโดย Apple และ Google ทั้งหมด เราไม่เคยได้รับหมายเลขบัตร วันหมดอายุ ที่อยู่เรียกเก็บเงิน หรือข้อมูลรับรองการชำระเงินอื่นใด — เราได้รับเพียงตัวระบุใบเสร็จที่มีลายเซ็นเท่านั้น หากระบบของเราถูกบุกรุก ก็ไม่อาจเปิดเผยเครื่องมือการชำระเงินได้ เพราะไม่มีการจัดเก็บข้อมูลดังกล่าว

เราไม่เคยบันทึกเสียงการโทร เสียงจะถูกส่งในรูปแบบเข้ารหัสตลอดระยะเวลาการโทร และจะไม่หลงเหลืออยู่ในรูปแบบใดหลังจากนั้น รายชื่อผู้ติดต่อจะไม่ถูกอัปโหลด หากแอปได้รับอนุญาตให้เข้าถึงรายชื่อ แอปจะอ่านรายชื่อบนอุปกรณ์เพื่อให้เลือกหมายเลขได้ และรายชื่อจะยังคงอยู่บนอุปกรณ์นั้น เราไม่เคยเก็บข้อมูลตำแหน่งที่แม่นยำ

สิ่งที่มีอยู่จริงและการรั่วไหลอาจเปิดเผยได้จึงระบุไว้อย่างตรงไปตรงมาใน นโยบายความเป็นส่วนตัว: รหัสระบุการติดตั้งแบบไม่ระบุตัวตนซึ่งมียอดคงเหลือ ประวัติการโทรในลักษณะเดียวกับที่ปรากฏในใบเรียกเก็บค่าโทร ตัวระบุใบเสร็จการซื้อ และข้อมูลทางเทคนิครวมถึงที่อยู่ IP สัญญาณควบคุมการโทรและเสียงถูกเข้ารหัสระหว่างการส่ง เช่นเดียวกับการรับส่งข้อมูลทั้งหมดระหว่างแอปกับเซิร์ฟเวอร์ของเรา และการเข้าถึงประวัติการโทรจำกัดไว้เฉพาะผู้ที่จำเป็นต้องใช้ข้อมูลดังกล่าวเพื่อให้บริการทำงาน

มีสามประเด็นที่ถูกรายงานเป็นประจำทั้งที่ทำงานตามที่ออกแบบไว้ และการระบุไว้ที่นี่จะช่วยประหยัดเวลาของทุกคน

ทุกสายจะแสดงหมายเลขเดียวกัน นี่เป็นสิ่งที่ตั้งใจไว้ มีการเผยแพร่รายละเอียดไว้ที่หน้าของหมายเลขนี้โดยเฉพาะ และเป็นสิ่งที่ตรงกันข้ามกับจุดอ่อนของหมายเลขผู้โทร: แอปไม่มีวิธีแสดงหมายเลขอื่น ซึ่งเป็นคุณสมบัติที่ทำให้ไม่สามารถใช้แอบอ้างตัวตนในรูปแบบที่การฉ้อโกงทางโทรศัพท์ส่วนใหญ่อาศัยได้

ไม่มีการเข้าสู่ระบบ และนั่นไม่ใช่การขาดมาตรการยืนยันตัวตน ไม่มีบัญชีให้ยืนยันตัวตนเข้าสู่ระบบ รหัสระบุการติดตั้งเป็นโทเคนสำหรับถือครองยอดเครดิตและได้รับการปฏิบัติเช่นนั้น ใครก็ตามที่อ่านรหัสดังกล่าวจากอุปกรณ์ได้ก็อาจใช้ยอดเครดิตนั้นได้ นี่จึงเป็นเหตุผลที่รหัสดังกล่าวจะไม่แสดงนอกจากในหน้าการตั้งค่า และเหตุที่การถูกเจาะอุปกรณ์อยู่นอกขอบเขต

แอปไม่สามารถรับสายหรือข้อความได้ รายงานว่าการโทรเข้าขาเข้าไม่ได้รับการยืนยันตัวตน จึงเป็นรายงานเกี่ยวกับความสามารถที่ไม่มีอยู่จริง ไม่มีช่องทางขาเข้าแต่อย่างใด

ไม่มีข้อใดในรายการนี้เป็นข้อบังคับ และข้อมูลทั้งหมดจะช่วยให้การสื่อสารสั้นลง รายงานที่เราทำซ้ำได้คือรายงานที่เราแก้ไขได้ ส่วนรายงานที่เราทำซ้ำไม่ได้จะกลายเป็นการสนทนา และการสนทนาจะใช้เวลานานกว่าสำหรับทุกคน รวมถึงผู้ที่พบปัญหาด้วย

บุคคลจริงจะอ่านรายงานและตอบกลับภายในห้าวันทำการ และโดยปกติจะเร็วกว่านั้น การตอบกลับครั้งแรกจะระบุอย่างใดอย่างหนึ่งว่าเราทำซ้ำปัญหาได้แล้วและคาดว่าจะแก้ไขเมื่อใดโดยคร่าว ๆ หรือถามคำถามเดียวที่เราต้องการเพื่อทำซ้ำปัญหา หรืออธิบายเหตุผลที่เราไม่คิดว่านี่เป็นช่องโหว่ เราจะไม่ปิดรายงานโดยไม่ชี้แจง และจะไม่ส่งข้อความตอบรับอัตโนมัติแล้วปล่อยให้ไม่มีการดำเนินการต่อ

สำหรับปัญหาที่มีผลกระทบจริง การแก้ไขจะถูกเผยแพร่และเราจะแจ้งให้คุณทราบ เราจะขอระยะเวลาที่เหมาะสมก่อนการเผยแพร่ — นานพอสำหรับการแก้ไขและเผยแพร่ ซึ่งสำหรับแอปมือถือรวมถึงรอบการตรวจสอบของ App Store ที่อยู่นอกเหนือการควบคุมของเรา — และเราจะแจ้งอย่างตรงไปตรงมาหากจะใช้เวลานานกว่าปกติ แทนที่จะปล่อยให้เส้นตายผ่านไปโดยไม่ชี้แจง

หากเราเห็นต่างจากคุณ เราจะบอกให้ทราบและอธิบายเหตุผล และคุณมีสิทธิ์เผยแพร่ความเห็นต่างนั้น นโยบายการเปิดเผยข้อมูลที่ใช้ได้เฉพาะเมื่อผู้วิจัยเห็นด้วยกับผู้ให้บริการ ไม่ใช่นโยบายที่แท้จริง