Sicurezza & conformità

Divulgazione responsabile

Incoraggiamo costantemente ricercatori e clienti a segnalare le vulnerabilità individuate. Per proteggere al meglio i nostri clienti, le segnalazioni restano riservate fino a quando le vulnerabilità non sono state confermate, risolte e rilasciate in produzione da Devolutions. Ci impegniamo a fare del nostro meglio per affrontare le vulnerabilità entro tempi ragionevoli e accettabili per il settore.

Ambito del programma bug bounty

I seguenti prodotti e servizi rientrano nell'ambito del nostro programma bug bounty:

• Devolutions Server

• Remote Desktop Manager (Windows)

• Devolutions Gateway

• Devolutions Cloud

• Devolutions Send

• Devolutions Portal e Devolutions Account

• Devolutions Crypto

• Il sito web e il blog di devolutions.net

L'ambito completo, le regole e le esclusioni sono indicati nella pagina del programma su YesWeHack.

Segnalare un problema di sicurezza

Sebbene ci occupiamo con attenzione della sicurezza dei nostri prodotti, la natura in rapida evoluzione e la complessità della sicurezza possono involontariamente esporre il nostro software o l'infrastruttura di supporto a vulnerabilità. Se individua una vulnerabilità di questo tipo, la invitiamo a inviarci tempestivamente la sua segnalazione. Le vulnerabilità che rientrano nell'ambito del nostro programma bug bounty devono essere segnalate tramite il nostro programma YesWeHack; non le accettiamo via e-mail. Per i problemi al di fuori dell'ambito del programma, ci scriva all'indirizzo security@devolutions.net. La segnalazione dovrebbe includere i seguenti elementi:

• Una descrizione chiara della vulnerabilità, di come può essere sfruttata e del suo impatto sulla sicurezza dell'applicazione, dei suoi utenti e di Devolutions.

• Passaggi completi per riprodurla, inclusi frammenti di codice, payload o comandi, se necessario.

• Prova dello sfruttamento, ad esempio screenshot che mostrino l'exploit e il suo impatto finale.

• Consigli per la correzione, se possibile e applicabile.

Una volta inviata la segnalazione, la preghiamo di concederci tempi ragionevoli per fornire un riscontro. Il nostro team di sicurezza deve:

• Riprodurre e confermare la vulnerabilità così come descritta nella sua segnalazione.

• Stabilire un punteggio di gravità secondo CVSS 3.1.

• Valutare le raccomandazioni contenute nella sua segnalazione e definire un piano d'azione con i team competenti.

• Mantenere la comunicazione con chi ha effettuato la segnalazione fino alla risoluzione del caso.

Le chiediamo cortesemente di mantenere riservati la segnalazione e il suo contenuto fino al rilascio in produzione delle opportune misure correttive. La preghiamo inoltre di notare che sfruttare una vulnerabilità segnalata in modo abusivo o per scopi illegali, malevoli o comunque inappropriati può comportare azioni legali nei confronti di chi ha effettuato la segnalazione, con possibili responsabilità civili o penali. Un'azione è considerata abusiva o inappropriata quando il suo scopo compromette informazioni riservate relative ai clienti o interne in modo indebito o sproporzionato, oppure quando tale azione ha una finalità diversa dalla dimostrazione di una vulnerabilità.