Eine Sicherheitslücke melden

Wenn du glaubst, eine Sicherheitslücke in InfraNest gefunden zu haben, erklärt dieser Artikel, wie du sie uns meldest, was du dabei angeben solltest und was du im Gegenzug erwarten kannst. Er richtet sich an alle – Kunden, Forscher oder neugierige Tüftler – die ein Problem verantwortungsvoll melden möchten.

#Überblick

• InfraNest nimmt Sicherheitsmeldungen ernst und prüft jede eingehende Meldung.
• Verantwortungsvolles Melden hilft uns, Probleme schnell zu beheben, bevor sie missbraucht werden können.
• Wir begrüßen Forschung in gutem Glauben und werden keine rechtlichen Schritte gegen Meldungen einleiten, die im Einklang mit diesem Artikel stehen.

#Eine Sicherheitslücke melden

1. Sende deine Meldung per E-Mail an security@infranest.io.
2. Eröffne kein öffentliches GitHub-Issue und veröffentliche nichts über das Problem, bevor wir die Möglichkeit hatten, es zu beheben.
3. Gib in deiner E-Mail an:
   • was du gefunden hast und was jemand damit anstellen könnte;
   • wie man es nachstellen kann – die betroffene Seite oder Adresse, die durchgeführten Schritte sowie etwaige Requests oder Screenshots;
   • ob du namentlich genannt werden möchtest und unter welchem Namen.
4. Schreibe auf Englisch, Niederländisch oder Deutsch – je nachdem, was dir am leichtesten fällt.

WarningFühre niemals Lasttests oder Denial-of-Service-Versuche gegen den Live-Dienst durch, auch nicht, um einen Punkt zu beweisen.

#Was als Nächstes passiert

1. Wir bestätigen den Eingang deiner Meldung innerhalb von 3 Werktagen.
2. Wir teilen dir innerhalb von 7 Werktagen mit, wie schwerwiegend wir das Problem einschätzen und was wir dagegen unternehmen wollen.
3. Wir halten dich auf dem Laufenden, während wir an einer Lösung arbeiten.
4. Sobald die Lösung live ist, nennen wir dich als Entdecker – es sei denn, du möchtest lieber anonym bleiben.

#Was im Geltungsbereich liegt

• Die InfraNest-App und ihre API (*.infranest.io).
• Der Server-Agent, infranest-agent, und die von ihm gesendeten Daten.
• Alles, was es einem Workspace ermöglicht, die Daten, Server oder Einstellungen eines anderen Workspace einzusehen oder zu verändern.
• Wie wir die von dir verbundenen Schlüssel und Tokens speichern und verwenden.

#Was nicht im Geltungsbereich liegt

• Probleme, die voraussetzen, dass jemand bereits Kontrolle über deinen Computer oder Server hat oder physischen Zugriff darauf besitzt.
• Rohe automatisierte Scanner-Ausgaben ohne funktionierenden Proof of Concept.
• Best-Practice-Vorschläge ohne konkrete sicherheitsrelevante Auswirkung.
• Social Engineering – die Täuschung unseres Teams oder unserer Kunden.
• Last- oder Denial-of-Service-Tests gegen den Live-Dienst.

#Forschung in gutem Glauben

Wir werden keine rechtlichen Schritte gegen dich einleiten oder andere dazu auffordern, solange du:

1. dich ernsthaft bemühst, die Hinweise auf dieser Seite zu befolgen;
2. die Privatsphäre niemandes beeinträchtigst, keine Daten löschst und den Dienst nicht verlangsamst;
3. nicht mehr Daten eines anderen Workspace einsiehst, als nötig ist, um das Problem zu belegen, und diese anschließend löschst;
4. uns angemessen Zeit gibst, das Problem zu beheben, bevor du andere darüber informierst.

TipAm sichersten testest du in deinem eigenen Workspace – du kannst kostenlos einen erstellen.

#Tipps

• Diese E-Mail-Adresse ist ausschließlich für Sicherheitsmeldungen vorgesehen. Für alles andere – einen Fehler, eine Frage oder ein Abrechnungsproblem – wende dich stattdessen über den Support in der App.
• Unsere veröffentlichten Kontaktdaten findest du auch unter https://infranest.io/.well-known/security.txt.