Politica di divulgazione delle vulnerabilità di LemFi

Introduzione

Noi di LemFi ci impegniamo a migliorare costantemente la nostra sicurezza. La presente Informativa sulla divulgazione delle vulnerabilità è pubblicata da Pomelo Technology US Inc. (con sede legale in 251 Little Falls Drive, Wilmington, DE 19808, USA) e si applica a essa e al suo gruppo di società e controllate (collettivamente, "LemFi", "noi" o "nostro"). Apprezziamo i feedback da parte di ricercatori nel campo della sicurezza e del pubblico in generale. Se ritieni di aver scoperto una vulnerabilità, un problema di privacy, dati esposti o qualsiasi altro problema di sicurezza relativo alle nostre risorse, ti preghiamo di contattarci seguendo la procedura descritta di seguito.

Sistemi inclusi nell'ambito di applicazione

La presente politica si applica alle risorse digitali possedute, gestite o mantenute da LemFi, elencate di seguito.

Beni inclusi nell'ambito di applicazione:

Fuori ambito

Le vulnerabilità scoperte o sospettate in sistemi non inclusi nell'ambito della garanzia devono essere segnalate al fornitore o all'autorità competente.

I seguenti elementi sono esclusi dall'ambito di applicazione e non devono essere testati ai sensi della presente politica:

qualsiasi sistema, risorsa, infrastruttura o servizio non espressamente elencato nella sezione Sistemi inclusi nell'ambito di applicazione di cui sopra;
infrastrutture, software o servizi di proprietà, gestiti o ospitati da terze parti (inclusi i nostri fornitori di servizi di pagamento, KYC, bancari, cloud e altri), anche laddove utilizzati per erogare i nostri servizi;
Ambienti di test, di pre-produzione e di dimostrazione, pensati per la simulazione e la messa in scena di scenari di prova;
Sistemi IT aziendali LemFi, reti interne, account dei dipendenti e sistemi di posta elettronica o messaggistica;
Pagine di destinazione per il marketing di LemFi, account sui social media e canali di assistenza clienti;
sicurezza fisica di qualsiasi locale o personale di LemFi.

Le seguenti tipologie di problemi sono escluse dall'ambito di applicazione e non saranno accettate come segnalazioni valide:

ingegneria sociale, phishing o qualsiasi attacco pretestuoso contro il personale, i collaboratori, i clienti o i partner di LemFi;
test di negazione del servizio o test volumetrici, inclusi test di stress, carico e esaurimento delle risorse;
risultati che richiedono un dispositivo con root, jailbreak o altrimenti compromesso, oppure un browser o un sistema operativo obsoleti;
intestazioni di sicurezza mancanti, algoritmi di crittografia deboli, problemi di configurazione dei certificati e simili violazioni delle migliori pratiche senza un impatto dimostrato sulla sicurezza;
Auto-XSS, clickjacking su pagine prive di azioni sensibili e altre problematiche teoriche senza una prova di concetto funzionante;
vulnerabilità in software o librerie di terze parti, a meno che non si possa dimostrare un impatto sfruttabile su una risorsa LemFi inclusa nell'ambito di applicazione.

I nostri impegni

Quando collabori con noi nel rispetto di questa politica, puoi aspettarti da noi:

Risponderemo tempestivamente alla tua segnalazione e collaboreremo con te per comprenderla e convalidarla;
Vi terremo informati sullo stato di avanzamento della risoluzione di una vulnerabilità;
Lavorare per porre rimedio alle vulnerabilità scoperte in modo tempestivo, entro i limiti delle nostre capacità operative; e
Estendi la clausola di esonero da responsabilità (Safe Harbor) alle tue ricerche di vulnerabilità correlate a questa politica.

Questa politica è supportata dal nostro partner, Inspectiv, che si occuperà di valutare le vulnerabilità valide. Per le segnalazioni ritenute vulnerabilità effettive, Inspectiv, per nostro conto, erogherà una ricompensa in denaro al ricercatore, il cui importo è incluso nella loro piattaforma.

Le nostre aspettative

Partecipando in buona fede al nostro programma di divulgazione delle vulnerabilità, ti chiediamo di:

Attenetevi alle regole, compreso il rispetto di questa politica e di qualsiasi altro accordo pertinente. In caso di incongruenza tra questa politica e i nostri Termini di servizio o la Politica di utilizzo accettabile in relazione alla ricerca di sicurezza autorizzata condotta in conformità con questa politica, prevarrà quest'ultima;
Segnala tempestivamente qualsiasi vulnerabilità tu abbia scoperto;
Evitare di violare la privacy altrui, di interrompere i nostri sistemi, di distruggere dati e/o di compromettere l'esperienza dell'utente;
Evitare test volumetrici o test che potrebbero altrimenti comportare un rifiuto del servizio;
Utilizzate esclusivamente i canali ufficiali (indicati di seguito) per discutere con noi le informazioni relative alle vulnerabilità;
Vi preghiamo di concederci un lasso di tempo ragionevole (almeno 90 giorni, o un periodo più lungo che potremmo ragionevolmente richiedere per iscritto qualora la risoluzione del problema richieda più tempo) a partire dalla segnalazione iniziale, per risolvere il problema prima di divulgarlo pubblicamente, e di mantenere la segnalazione e qualsiasi informazione ottenuta durante la vostra ricerca strettamente riservate fino a quando non sarà trascorso tale periodo e la vulnerabilità non sarà stata risolta;
Eseguire i test solo sui sistemi inclusi nell'ambito del progetto e rispettare i sistemi e le attività che ne sono esclusi;
Non eseguire test che violino leggi o regolamenti applicabili o che compromettano o interrompano dati non tuoi;
Se una vulnerabilità fornisce un accesso non intenzionale ai dati: limitare la quantità di dati a cui si accede al minimo necessario per dimostrare efficacemente una Prova di Concetto; e interrompere i test e inviare immediatamente una segnalazione se si riscontrano dati utente durante i test, come Informazioni di Identificazione Personale (PII), Dati Personali (come definiti nel Regno Unito e nell'UE/SEE, Regolamento Generale sulla Protezione dei Dati), dati di carte di credito o informazioni proprietarie. Non è consentito conservare, copiare, archiviare, trasferire, divulgare, vendere o utilizzare in altro modo tali dati per alcuno scopo e si deve eliminarli o distruggerli in modo sicuro (e qualsiasi copia) al verificarsi della prima delle seguenti condizioni: (a) nostra richiesta scritta e (b) conferma che la vulnerabilità è stata risolta;
Dovresti interagire solo con account di prova di tua proprietà o con l'esplicita autorizzazione del titolare dell'account;
Non commettere estorsione; e
Tu non sei, né agisci per conto di alcuna persona che sia, (i) situata, residente abitualmente o organizzata in qualsiasi paese o territorio soggetto a sanzioni globali amministrate dal Regno Unito, dall'UE, dagli Stati Uniti (OFAC) o dalle Nazioni Unite, o (ii) presente in qualsiasi lista di sanzioni o di soggetti sottoposti a restrizioni tenuta da una qualsiasi di tali autorità.

Premi

Le segnalazioni VDP non sono idonee al pagamento di ricompense da parte di Inspectiv, si prega di visitare https://app.inspectiv.com/ per visualizzare i nostri attuali programmi Bug Bounty.

Canali ufficiali

Si prega di segnalare i problemi di sicurezza qui: https://client.inspectiv.com/vdp/lemfi/submit-report

Vi preghiamo di fornire tutte le informazioni pertinenti. Più dettagli fornirete, più facile sarà per noi individuare e risolvere il problema.

Se riscontri problemi nell'invio della tua segnalazione di vulnerabilità sulla nostra piattaforma, contatta programs@inspectiv.com e provvederemo a elaborare la tua segnalazione via e-mail. Ti preghiamo di non contattare direttamente i nostri clienti, in quanto saranno loro a indirizzarti a noi.

Porto sicuro

Quando conduci una ricerca di vulnerabilità e hai rispettato questa politica, consideriamo tale ricerca di vulnerabilità come:

La ricerca è autorizzata ai fini delle leggi anti-hacking applicabili e non avvieremo né sosterremo azioni legali contro di te per violazioni accidentali e in buona fede di questa politica;
Ricerca autorizzata ai fini delle leggi antielusione pertinenti, e non intraprenderemo alcuna azione legale contro di voi per elusione dei controlli tecnologici;
Siamo esenti dalle restrizioni previste nei nostri Termini di servizio (TOS) e/o nella Politica di utilizzo accettabile (AUP) che potrebbero interferire con lo svolgimento di ricerche sulla sicurezza, e rinunciamo a tali restrizioni in casi limitati;
Lecito, utile alla sicurezza generale di Internet e condotto in buona fede.

Come sempre, ci si aspetta che rispettiate tutte le leggi applicabili. Qualora una terza parte intenti un'azione legale contro di voi e abbiate rispettato la presente informativa, adotteremo le misure necessarie per rendere noto che le vostre azioni sono state condotte in conformità con la presente informativa. Viceversa, qualora non abbiate rispettato la presente informativa, lo renderemo ugualmente noto.

Qualora doveste avere dubbi o incertezze sulla conformità della vostra ricerca in materia di sicurezza a questa politica, vi preghiamo di inviare una segnalazione tramite uno dei nostri canali ufficiali prima di procedere ulteriormente.

Si noti che la clausola di esonero da responsabilità si applica solo alle rivendicazioni legali sotto il controllo dell'organizzazione che aderisce a questa politica e che la politica non vincola terze parti indipendenti. In particolare, questa politica non impedisce, né può impedire, l'avvio di procedimenti penali da parte di qualsiasi autorità giudiziaria ai sensi di qualsiasi legge di diritto pubblico (inclusa, nel Regno Unito, la legge sul reato di violazione del computer del 1990); il nostro impegno è che LemFi non avvierà né sosterrà direttamente tali procedimenti nei vostri confronti qualora abbiate rispettato questa politica.

Riserva di diritti. Qualora una condotta violi la presente politica e anche la legge applicabile, ci riserviamo il diritto di intraprendere o supportare azioni legali e di informare le autorità competenti. Nulla nella presente politica limita i diritti o i rimedi altrimenti a nostra disposizione.

Legge applicabile. La presente polizza e qualsiasi obbligazione extracontrattuale derivante da essa o ad essa connessa sono regolate dalle leggi dell'Inghilterra e del Galles, e i tribunali dell'Inghilterra e del Galles hanno giurisdizione esclusiva per dirimere qualsiasi controversia derivante da essa o ad essa connessa.