Säkerhet
Rapportera en sårbarhet till oss
Har du hittat en sårbarhet i någon av våra produkter? Då vill vi veta det. Här beskriver vi hur du rapporterar och vad som händer sedan.
Kontakt
Så kontaktar du oss
- E-post: security@xertified.com
- Svar: Inom fem arbetsdagar bekräftar vi att vi har tagit emot rapporten.
- Språk: Du kan skriva på svenska eller engelska.
Vill du kryptera din rapport? Använd vår PGP-nyckel. Den har det här fingeravtrycket:
A491 4B82 777A FC3C 804B FDD0 F6E1 F949 234E 49B2
Vår policy finns också i en form som datorer kan läsa, i filen security.txt.
Vad som omfattas
Det här kan du rapportera
Du kan rapportera sårbarheter i:
- låsets hårdvara
- våra program för användare
- servern XMS
- webbplatsen xertified.com
Det här omfattas inte:
- andra företags produkter
- angrepp som kräver att angriparen redan har fysisk tillgång till utrustningen
- försök att lura vår personal, så kallad social manipulation
Processen
Det här händer efter din rapport
- Bekräftelse. Vi bekräftar inom fem arbetsdagar att vi har tagit emot rapporten.
- Bedömning. Vi undersöker felet och berättar vad vi har kommit fram till. Hur snabbt det går beror på hur allvarligt felet är.
- Åtgärd. Vi rättar felet och berättar för dig när det är gjort.
- Publicering. Innan något publiceras får du se vår bedömning.
Riktlinjer
Det här ber vi dig om
- Testa på din egen utrustning, inte på någon annans anläggning.
- Rör inte andras data. Det räcker att visa att något är möjligt.
- Ge oss rimlig tid innan du publicerar något.
- Beskriv hur felet kan återskapas. Då kan vi rätta det snabbare.
Du behöver inte berätta vem du är för att rapportera.
Vi har inget formellt program där vi betalar för rapporter, ett så kallat bug bounty-program. Men vi kan ge erkännande eller ersättning när en rapport har stort värde och du har agerat i god tro.
Vårt eget arbete
Så arbetar vi med säkerheten i XoT
Beprövad kryptering
Krypteringen kommer från WireGuard, en välkänd teknik för krypterade förbindelser.
Testad mot angrepp
Flera företag har försökt bryta sig in i XoT i så kallade penetrationstester.
Egna tester
Vill ni göra ett penetrationstest eller en säkerhetsgranskning av XoT? Då kommer vi överens om hur det ska gå till.
Inga lösenord
Varje användare och varje enhet har ett eget digitalt certifikat i stället för ett lösenord.
Rapportera en sårbarhet
Inom fem arbetsdagar bekräftar vi att vi har tagit emot din rapport.