Bei Simbase haben wir uns verpflichtet, die Sicherheit unserer Systeme und der Daten unserer Kunden zu gewährleisten. Wir bieten globale IoT-Konnektivitätsdienste an und wissen, wie wichtig es ist, unsere intern entwickelte Plattform zu schützen, auf die sich unsere Kunden bei der Verwaltung ihrer Geräte verlassen. Wir betreiben ein Programm zur verantwortungsvollen Offenlegung von Informationen und ein aktives Bug-Bounty-Programm, um Sicherheitsforscher zu belohnen, die uns helfen, Schwachstellen zu identifizieren und zu beheben.
Unser Engagement
Wir überwachen und verbessern ständig unsere Sicherheitsmaßnahmen, um die Integrität und Zuverlässigkeit unserer Dienste zu gewährleisten. Wenn Sie glauben, eine Sicherheitslücke auf unserer Plattform gefunden zu haben, bitten wir Sie, uns diskret zu informieren, und wir versprechen, alle legitimen Meldungen umgehend und gründlich zu untersuchen.
Wie man eine Sicherheitsschwachstelle meldet
Wenn Sie ein potenzielles Sicherheitsproblem entdeckt haben, teilen Sie es uns bitte mit, indem Sie diese Schritte befolgen:
Senden Sie Ihre Ergebnisse an security@simbase.com.
Geben Sie genügend Informationen an, um das Problem zu reproduzieren, damit wir es so schnell wie möglich beheben können. Komplexe Schwachstellen erfordern unter Umständen eine ausführlichere Erklärung als weniger komplexe Schwachstellen.
Teilen Sie uns die Schwachstelle vertraulich mit und geben Sie sie nicht an andere weiter, bis wir die Möglichkeit hatten, sie zu beheben.
Offenlegung der Sicherheit: Unsere Kontaktinformationen zur Sicherheit sind veröffentlicht unter simbase.com/.well-known/security.txt gemäß RFC 9116, das auch zur Meldung von Sicherheitslücken verwendet werden kann.
Unser Versprechen
Wir werden den Eingang Ihrer Schwachstellenmeldung innerhalb von 32 Stunden bestätigen.
Wir werden uns mit Ihnen in Verbindung setzen, um das Ausmaß der Schwachstelle zu verstehen, und mit Ihnen zusammenarbeiten, um das Problem zu validieren und zu lösen.
Wir werden Ihren Bericht streng vertraulich behandeln und Ihre persönlichen Daten nicht ohne Ihre Zustimmung an Dritte weitergeben.
Wir werden Sie über unsere Fortschritte während der Ermittlungs- und Lösungsphase auf dem Laufenden halten.
Wir bemühen uns, alle festgestellten Schwachstellen innerhalb eines angemessenen Zeitraums zu beheben und werden so bald wie möglich ein Update veröffentlichen.
Bug Bounty Programm
Simbase belohnt gültige und qualifizierte Berichte über Sicherheitslücken durch unser Bug Bounty Programm. Wir arbeiten mit Sicherheitsforschern weltweit zusammen, um Sicherheitsprobleme zu identifizieren und zu beheben. Akzeptierte Berichte können für Geldprämien und zusätzliche Anerkennung in Frage kommen.
Umfang
In Reichweite
Die folgenden Bereiche sind für Bug Bounty Belohnungen geeignet:
simbase.de und alle Subdomains (mit Ausnahme der von Dritten gehosteten Dienste)
REST-API Endpunkte und Authentifizierungsmechanismen
Dashboard und Kontoführungssysteme
Authentifizierungssysteme (SSO, OAuth, API-Schlüssel, Token-Validierung)
IoT-Infrastruktur (Gerätekommunikationsprotokolle, Netzsicherheit, Datenübertragung)
Außerhalb des Geltungsbereichs
Die folgenden Themen sind nicht die für Kopfgeldprämien in Frage kommen:
Ergebnisse von automatisierten Tools oder Scans ohne manuelle Validierung
Anwendungen, Dienste oder Geräte von Drittanbietern, die mit unserer Plattform interagieren
Denial of Service (DoS, DDoS) Schwachstellen
Mobile Anwendungen (sofern nicht ausdrücklich in einem speziellen Bounty-Programm enthalten)
Angriffe auf Simbase-Kunden oder Endbenutzer (nicht auf unsere Systeme)
Ratenbegrenzungs-Bypass ohne nachweisbare Auswirkungen
Fehlende HTTP-Sicherheits-Header ohne ausnutzbare Auswirkungen
SPF-, DKIM- oder DMARC-Konfigurationsprobleme
Content-Injection-Schwachstellen ohne bestätigte Ausnutzbarkeit
Probleme, die einen physischen Zugang zur Infrastruktur erfordern
Social-Engineering- oder Phishing-Angriffe gegen Simbase-Mitarbeiter
Zuschussfähigkeit
Um sich für Bug Bounty Belohnungen zu qualifizieren, müssen Sie:
Kein aktueller oder ehemaliger Mitarbeiter von Simbase seinAuftragnehmer oder Berater (innerhalb der letzten 6 Monate)
Sie dürfen sich nicht in einem sanktionierten Land befinden. wo gesetzliche Einschränkungen gelten
Mindestens 18 Jahre alt sein (oder die schriftliche Erlaubnis der Eltern und eines Erziehungsberechtigten haben)
Alle geltenden Gesetze einhalten in Ihrem Zuständigkeitsbereich
Seien Sie der erste Reporter der Sicherheitslücke (das Kopfgeld geht an den ersten gültigen Bericht)
Befolgen Sie diese Politik in vollem Umfang, einschließlich der Vertraulichkeitsanforderungen
Belohnungen
Qualifizierte Schwachstellenberichte erhalten:
Kriterien für die Gewährung einer Belohnung:
Die Sicherheitslücke muss Simbase zuvor nicht gemeldet worden sein.
Die Schwachstelle muss eine nachweisbare Auswirkung auf die Sicherheit haben
Der Bericht muss ausreichend detailliert sein, um das Problem zu reproduzieren
Der Forscher muss diese Politik in vollem Umfang befolgen
Simbase behält sich das Recht vor, den Schweregrad und den Anspruch auf eine Belohnung zu bestimmen.
Einstufung des Schweregrads (für den Kontext):
Kritisch: Remotecodeausführung, Umgehung der Authentifizierung, Zugriff auf sensible Kundendaten
Hoch: Privilegieneskalation, erhebliche Datenexposition, IDOR mit Zugriff auf sensible Daten
Medium: Gespeicherte XSS, CSRF bei sensiblen Aktionen, Offenlegung von Informationen über interne Systeme
Niedrig: Reflektiertes XSS mit begrenzten Auswirkungen, ausführliche Fehlermeldungen, kleinere Informationslecks
Hinweis: Simbase behält sich das Recht vor, die Belohnungen je nach Schweregrad und Auswirkungen anzupassen. Meldungen mit geringem oder informativem Schweregrad werden möglicherweise auch ohne Belohnung anerkannt.
Sicherer Zufluchtsort
Sicherheitsforscher, die diese Richtlinie in gutem Glauben befolgen, sind durch unsere Safe-Harbor-Klausel geschützt:
Wir werden keine rechtlichen Schritte unternehmen gegen Sie für Sicherheitsforschung, die im Rahmen dieser Richtlinie durchgeführt wird
Wir betrachten genehmigte Forschung, die sich an diese Richtlinie hält, als rechtmäßig im Rahmen der geltenden gesetzlichen Bestimmungen.
Wir bitten Sie alle Aktivitäten zu unterlassen, die Simbase oder unseren Kunden schaden könnteneinschließlich, aber nicht beschränkt auf:
Verletzung der Privatsphäre oder unbefugter Zugriff auf persönliche Daten
Zerstörung oder Beschädigung von Daten
Unterbrechung oder Beeinträchtigung von Dienstleistungen
Übermäßige Ausnutzung von Schwachstellen über das Maß hinaus, das zum Nachweis der Auswirkungen erforderlich ist
Öffentliche Bekanntgabe, bevor wir eine angemessene Gelegenheit zur Korrektur hatten (mindestens 90 Tage)
Simbase ist bestrebt, mit der Sicherheitsgemeinschaft zusammenzuarbeiten, um Sicherheitsprobleme in unseren Diensten zu finden und zu beheben. Gemeinsam können wir unser gemeinsames digitales Ökosystem sicher und geschützt halten.
Kontakt
Für Berichte über Sicherheitslücken oder Fragen zu dieser Richtlinie:
Wir schätzen Ihre verantwortungsvolle Offenlegung und Ihren Beitrag zur Sicherheit der Simbase-Plattform.
