LemFi-Richtlinie zur Offenlegung von Sicherheitslücken

Einführung

Bei LemFi arbeiten wir kontinuierlich an der Verbesserung unserer Sicherheitslage. Diese Richtlinie zur Offenlegung von Sicherheitslücken wird von Pomelo Technology US Inc. (eingetragen unter 251 Little Falls Drive, Wilmington, DE 19808, USA) veröffentlicht und gilt für dieses Unternehmen sowie seine Unternehmensgruppe und Tochtergesellschaften (gemeinsam „LemFi“, „wir“, „uns“ oder „unser“). Wir freuen uns über Feedback von Sicherheitsforschern und der Öffentlichkeit. Sollten Sie eine Sicherheitslücke, ein Datenschutzproblem, offengelegte Daten oder andere Sicherheitsprobleme im Zusammenhang mit unseren Systemen entdeckt haben, kontaktieren Sie uns bitte gemäß der unten beschriebenen Richtlinie.

Systeme im Geltungsbereich

Diese Richtlinie gilt für die digitalen Vermögenswerte, die sich im Besitz von LemFi befinden, von LemFi betrieben oder verwaltet werden und die unten aufgeführt sind.

Zum Geltungsbereich gehörende Vermögenswerte:

Außerhalb des Geltungsbereichs

Sicherheitslücken, die in Systemen außerhalb des Geltungsbereichs entdeckt oder vermutet werden, sollten dem jeweiligen Anbieter oder der zuständigen Behörde gemeldet werden.

Folgende Punkte fallen nicht unter den Geltungsbereich dieser Richtlinie und dürfen nicht getestet werden:

alle Systeme, Anlagen, Infrastrukturen oder Dienstleistungen, die nicht ausdrücklich unter „Systeme im Geltungsbereich“ oben aufgeführt sind;
Infrastruktur, Software oder Dienstleistungen, die sich im Besitz Dritter befinden, von diesen betrieben oder gehostet werden (einschließlich unserer Zahlungs-, KYC-, Bank-, Cloud- und anderer Anbieter), auch wenn sie zur Erbringung unserer Dienstleistungen verwendet werden;
Sandbox-, Staging-, Test-, Vorproduktions- und Demonstrationsumgebungen;
LemFi-Unternehmens-IT-Systeme, interne Netzwerke, Mitarbeiterkonten und E-Mail- oder Nachrichtensysteme;
LemFi-Marketing-Landingpages, Social-Media-Konten und Kundensupportkanäle;
physische Sicherheit aller LemFi-Räumlichkeiten oder des Personals.

Folgende Problemkategorien fallen nicht in den Geltungsbereich und werden nicht als gültige Berichte akzeptiert:

Social Engineering, Phishing oder Angriffe unter einem Vorwand gegen Mitarbeiter, Auftragnehmer, Kunden oder Partner von LemFi;
Denial-of-Service- oder Volumentests, einschließlich Stress-, Belastungs- und Ressourcenerschöpfungstests;
Ergebnisse, die ein gerootetes, gejailbreaktes oder anderweitig kompromittiertes Gerät oder einen veralteten Browser oder ein veraltetes Betriebssystem erfordern;
fehlende Sicherheitsheader, schwache Verschlüsselungsverfahren, Probleme bei der Zertifikatskonfiguration und ähnliche Best-Practice-Ergebnisse ohne nachgewiesene Sicherheitsauswirkungen;
Selbst-XSS, Clickjacking auf Seiten ohne sensible Aktionen und andere theoretische Probleme ohne funktionierenden Machbarkeitsnachweis;
Sicherheitslücken in Software oder Bibliotheken von Drittanbietern, es sei denn, Sie können einen ausnutzbaren Einfluss auf ein im Geltungsbereich liegendes LemFi-Asset nachweisen.

Unsere Verpflichtungen

Wenn Sie im Einklang mit dieser Richtlinie mit uns zusammenarbeiten, können Sie Folgendes von uns erwarten:

Wir werden umgehend auf Ihre Meldung reagieren und mit Ihnen zusammenarbeiten, um Ihre Meldung zu verstehen und zu bestätigen;
Wir halten Sie über den Fortschritt der Bearbeitung einer Sicherheitslücke auf dem Laufenden;
Arbeiten Sie daran, entdeckte Schwachstellen zeitnah und im Rahmen unserer betrieblichen Möglichkeiten zu beheben; und
Erweitern Sie den Safe Harbor auf Ihre Schwachstellenforschung, die mit dieser Richtlinie in Zusammenhang steht.

Diese Richtlinie wird von unserem Partner Inspectiv unterstützt, der die gemeldeten Schwachstellen prüft und gegebenenfalls beanstandet. Für Meldungen, die als echte Schwachstellen eingestuft werden, veranlasst Inspectiv in unserem Namen eine finanzielle Belohnung an den Forscher; die Kosten hierfür sind in der Plattform von Inspectiv enthalten.

Unsere Erwartungen

Wenn Sie in gutem Glauben an unserem Programm zur Offenlegung von Sicherheitslücken teilnehmen, bitten wir Sie Folgendes zu beachten:

Halten Sie sich an die Regeln, einschließlich der Einhaltung dieser Richtlinie und aller anderen relevanten Vereinbarungen. Im Falle von Widersprüchen zwischen dieser Richtlinie und unseren Nutzungsbedingungen oder unserer Richtlinie zur akzeptablen Nutzung in Bezug auf autorisierte Sicherheitsforschung, die gemäß dieser Richtlinie durchgeführt wird, hat diese Richtlinie Vorrang;
Melden Sie jede entdeckte Sicherheitslücke umgehend;
Vermeiden Sie es, die Privatsphäre anderer zu verletzen, unsere Systeme zu stören, Daten zu zerstören und/oder die Benutzererfahrung zu beeinträchtigen;
Vermeiden Sie volumetrische Tests oder Tests, die andernfalls zu einer Dienstverweigerung führen könnten;
Bitte nutzen Sie ausschließlich die offiziellen Kanäle (siehe unten), um mit uns über Sicherheitslücken zu sprechen.
Gewähren Sie uns eine angemessene Frist (mindestens 90 Tage oder einen längeren Zeitraum, den wir gegebenenfalls schriftlich anfordern, wenn die Behebung mehr Zeit in Anspruch nimmt) ab dem ersten Bericht, um das Problem zu lösen, bevor Sie es öffentlich machen, und behandeln Sie den Bericht und alle im Rahmen Ihrer Recherche gewonnenen Informationen streng vertraulich, bis diese Frist abgelaufen ist und die Sicherheitslücke behoben wurde;
Die Tests dürfen nur an Systemen durchgeführt werden, die zum Geltungsbereich gehören; Systeme und Aktivitäten, die nicht zum Geltungsbereich gehören, sind zu respektieren.
Führen Sie keine Tests durch, die gegen geltende Gesetze oder Vorschriften verstoßen oder Daten, die nicht Ihre eigenen sind, stören oder gefährden;
Falls eine Schwachstelle unbeabsichtigten Zugriff auf Daten ermöglicht: Beschränken Sie den Zugriff auf die Datenmenge auf das Minimum, das für einen effektiven Machbarkeitsnachweis erforderlich ist; und stellen Sie die Tests sofort ein und reichen Sie umgehend einen Bericht ein, falls Sie während der Tests auf Benutzerdaten stoßen, wie z. B. personenbezogene Daten (PII), persönliche Daten (gemäß Definition in der Datenschutz-Grundverordnung in Großbritannien und der EU/dem EWR), Kreditkartendaten oder geschützte Informationen. Sie dürfen diese Daten weder speichern, kopieren, übertragen, offenlegen, verkaufen noch anderweitig für irgendeinen Zweck verwenden und müssen sie (sowie alle Kopien) sicher löschen oder vernichten, sobald (a) wir Sie schriftlich dazu auffordern und (b) die Bestätigung erfolgt ist, dass die Schwachstelle behoben wurde.
Sie sollten nur mit Testkonten interagieren, die Ihnen gehören oder für die Sie die ausdrückliche Erlaubnis des Kontoinhabers haben;
Erpressung ist verboten; und
Sie sind keine Person und handeln auch nicht im Namen einer Person, die (i) ihren gewöhnlichen Aufenthalt oder Sitz in einem Land oder Gebiet hat, das Gegenstand umfassender Sanktionen des Vereinigten Königreichs, der EU, der USA (OFAC) oder der UN ist, oder (ii) auf einer Sanktions- oder Sperrliste einer dieser Behörden steht.

Prämien

VDP-Einreichungen sind nicht für eine Prämienzahlung von Inspectiv berechtigt. Besuchen Sie https://app.inspectiv.com/], um unsere aktuellen Bug-Bounty-Programme einzusehen.

Offizielle Kanäle

Bitte melden Sie Sicherheitsprobleme hier: https://client.inspectiv.com/vdp/lemfi/submit-report

Bitte geben Sie alle relevanten Informationen an. Je mehr Details Sie uns mitteilen, desto einfacher ist es für uns, das Problem zu analysieren und zu beheben.

Sollten Sie Probleme beim Einreichen Ihrer Sicherheitslücke auf unserer Plattform haben, wenden Sie sich bitte an programs@inspectiv.com. Wir bearbeiten Ihre Meldung dann per E-Mail. Bitte kontaktieren Sie nicht direkt unsere Kunden, da diese Sie an uns weiterleiten werden.

Sicherer Hafen

Wenn Sie Schwachstellenanalysen durchführen und diese Richtlinie eingehalten haben, betrachten wir diese Schwachstellenanalysen als:

Genehmigte Forschung im Rahmen der geltenden Anti-Hacking-Gesetze; wir werden keine rechtlichen Schritte gegen Sie einleiten oder unterstützen, wenn Sie versehentlich und in gutem Glauben gegen diese Richtlinie verstoßen.
Die Forschung war im Rahmen der einschlägigen Anti-Umgehungsgesetze autorisiert, und wir werden keine Ansprüche gegen Sie wegen Umgehung von technischen Kontrollen geltend machen;
Ausgenommen von den Beschränkungen unserer Nutzungsbedingungen (Terms of Service, TOS) und/oder unserer Richtlinie zur akzeptablen Nutzung (Acceptable Usage Policy, AUP), die die Durchführung von Sicherheitsforschung beeinträchtigen würden, verzichten wir in begrenztem Umfang auf diese Beschränkungen.
Rechtmäßig, hilfreich für die allgemeine Sicherheit des Internets und in gutem Glauben durchgeführt.

Sie sind wie immer verpflichtet, alle geltenden Gesetze einzuhalten. Sollte ein Dritter rechtliche Schritte gegen Sie einleiten und Sie diese Richtlinie eingehalten haben, werden wir dies öffentlich machen. Sollten Sie gegen diese Richtlinie verstoßen haben, werden wir dies ebenfalls bekannt machen.

Sollten Sie zu irgendeinem Zeitpunkt Bedenken haben oder sich nicht sicher sein, ob Ihre Sicherheitsforschung mit dieser Richtlinie übereinstimmt, reichen Sie bitte einen Bericht über einen unserer offiziellen Kanäle ein, bevor Sie weitere Schritte unternehmen.

Beachten Sie, dass die Safe-Harbor-Regelung nur für Rechtsansprüche gilt, die der Kontrolle der an dieser Richtlinie beteiligten Organisation unterliegen, und dass die Richtlinie unabhängige Dritte nicht bindet. Insbesondere kann diese Richtlinie eine Strafverfolgung durch eine Strafverfolgungsbehörde gemäß geltendem Recht (einschließlich des britischen Computer Misuse Act 1990) nicht verhindern; LemFi verpflichtet sich jedoch, keine solchen Verfahren gegen Sie einzuleiten oder zu unterstützen, sofern Sie diese Richtlinie eingehalten haben.

Rechtevorbehalt. Bei Verstößen gegen diese Richtlinie und geltendes Recht behalten wir uns das Recht vor, rechtliche Schritte einzuleiten oder zu unterstützen und die zuständigen Behörden zu benachrichtigen. Diese Richtlinie schränkt unsere sonstigen Rechte und Rechtsmittel in keiner Weise ein.

Anwendbares Recht. Diese Richtlinie und alle außervertraglichen Verpflichtungen, die sich aus oder im Zusammenhang mit ihr ergeben, unterliegen dem Recht von England und Wales, und die Gerichte von England und Wales sind ausschließlich zuständig für die Beilegung von Streitigkeiten, die sich aus oder im Zusammenhang mit dieser Richtlinie ergeben.