Sicherheit & Compliance

Verantwortungsvolle Offenlegung

Wir ermutigen Forscher und Kunden kontinuierlich, identifizierte Schwachstellen zu melden. Zum besseren Schutz unserer Kunden bleiben Berichte vertraulich, bis Schwachstellen von Devolutions bestätigt, behoben und in die Produktion überführt wurden. Wir bemühen uns nach besten Kräften, Schwachstellen innerhalb eines angemessenen und branchenweit akzeptablen Zeitrahmens zu beheben.

Umfang des Bug-Bounty-Programms

Die folgenden Produkte und Dienste fallen in den Umfang unseres Bug-Bounty-Programms:

• Devolutions Server

• Remote Desktop Manager (Windows)

• Devolutions Gateway

• Devolutions Cloud

• Devolutions Send

• Devolutions Portal und Devolutions Account

• Devolutions Crypto

• Die Website und der Blog von devolutions.net

Der vollständige Umfang, die Regeln und die Ausschlüsse sind auf der Programmseite auf YesWeHack aufgeführt.

Ein Sicherheitsproblem melden

Obwohl wir die Sicherheit unserer Produkte ernst nehmen, kann die sich schnell verändernde Natur und Komplexität der Sicherheit unsere Software oder unterstützende Infrastruktur unbeabsichtigt Schwachstellen aussetzen. Wenn Sie eine solche Schwachstelle identifizieren, senden Sie uns bitte Ihren Bericht zeitnah. Schwachstellen, die in den Umfang unseres Bug-Bounty-Programms fallen, müssen über unser YesWeHack-Programm gemeldet werden; per E-Mail nehmen wir sie nicht entgegen. Bei Problemen außerhalb des Programmumfangs senden Sie uns eine E-Mail an security@devolutions.net. Der Bericht sollte folgende Punkte enthalten:

• Eine klare Beschreibung der Schwachstelle, wie sie ausgenutzt werden kann, und ihrer Auswirkungen auf die Sicherheit der Anwendung, ihrer Benutzer und von Devolutions.

• Vollständige Schritte zur Reproduktion, einschließlich Codeausschnitten, Payloads oder Befehlen, falls erforderlich.

• Nachweis der Ausnutzung, z. B. Screenshots, die den Exploit und seine endgültigen Auswirkungen zeigen.

• Empfehlungen zur Behebung, falls möglich und zutreffend.

Nach der Einreichung geben Sie uns bitte einen angemessenen Zeitrahmen, um Feedback zu geben. Unser Sicherheitsteam muss:

• Die Schwachstelle wie in Ihrem Bericht beschrieben reproduzieren und bestätigen.

• Einen Schweregrad gemäß CVSS 3.1 festlegen.

• Die Empfehlungen aus Ihrem Bericht berücksichtigen und einen Aktionsplan mit den relevanten Teams erstellen.

• Die Kommunikation mit dem Melder aufrechterhalten, bis der Fall gelöst ist.

Wir bitten Sie, den Bericht und seinen Inhalt vertraulich zu behandeln, bis die entsprechenden Korrekturmaßnahmen in die Produktion überführt wurden. Bitte beachten Sie auch, dass das missbräuchliche Ausnutzen einer gemeldeten Schwachstelle oder deren Nutzung für illegale, böswillige oder andere unangemessene Zwecke zu rechtlichen Verfolgungen gegen den Melder führen kann, die zu zivil- oder strafrechtlicher Haftung führen könnten. Eine Handlung gilt als missbräuchlich oder unangemessen, wenn ihr Zweck kundenbezogene oder interne vertrauliche Informationen in unangemessener oder unverhältnismäßiger Weise gefährdet, oder wenn eine solche Handlung ein anderes Ziel als den Nachweis einer Schwachstelle verfolgt.