1. Champ d’application
La présente politique couvre les vulnérabilités de sécurité des produits et services EpiSensor : EpiSensor Edge (y compris l’édition gratuite sur Raspberry Pi), System Manager, Core, les Gateways EpiSensor, les appareils EpiSensor et leur micrologiciel, ainsi que les sites web et services en ligne d’EpiSensor. Elle couvre également les logiciels tiers qu’EpiSensor intègre à ses produits.
Une vulnérabilité affectant le produit d’un autre fabricant connecté à un produit EpiSensor devrait être signalée à ce fabricant. Informez-nous également si elle a une incidence sur le fonctionnement de nos produits avec celui-ci.
2. Comment signaler une vulnérabilité
Écrivez à security@episensor.com. Dans la mesure du possible, veuillez rédiger votre message en anglais. Si vous ne savez pas avec certitude si un problème constitue une vulnérabilité, signalez-le malgré tout.
Ce même contact est publié dans un format lisible par machine dans notre fichier security.txt.
3. Éléments à inclure
- Le produit et la version que vous avez testés, par exemple la version d’Edge et le matériel sur lequel il s’exécute, ou l’adresse de la page web.
- La nature de la vulnérabilité et ce qu’un attaquant pourrait en faire.
- Les étapes permettant de la reproduire, accompagnées, le cas échéant, du code de preuve de concept, des journaux ou des captures d’écran.
- Si vous pensez qu’elle est en cours d’exploitation.
- Si vous souhaitez être cité et, dans l’affirmative, de quelle manière.
N’incluez pas de données personnelles qui ne sont pas nécessaires pour démontrer le problème.
4. Nos engagements
- Nous accusons réception de votre signalement dans un délai de cinq jours ouvrés.
- Nous évaluons votre signalement, vous indiquons si nous parvenons à reproduire la vulnérabilité et vous tenons informé jusqu’à sa résolution.
- Nous corrigeons les vulnérabilités confirmées et mettons gratuitement à disposition des mises à jour de sécurité, y compris pour l’édition gratuite d’Edge.
- Lorsqu’un correctif est disponible, nous publions un avis de sécurité décrivant la vulnérabilité, les versions concernées et les moyens de la corriger ou d’en atténuer les effets, et nous vous citons si vous le souhaitez.
- Nous notifions les vulnérabilités activement exploitées et les incidents graves au CSIRT désigné comme coordinateur et à l’ENISA, comme l’exige le règlement de l’UE sur la cyberrésilience (règlement (UE) 2024/2847), et nous indiquons aux utilisateurs concernés les mesures qu’ils peuvent prendre pour réduire le risque.
Nous ne rémunérons pas les signalements.
5. Divulgation coordonnée
Veuillez nous laisser la possibilité de corriger une vulnérabilité avant que ses détails ne soient rendus publics. Si vous signalez une vulnérabilité, vous vous engagez à ne pas en publier les détails avant que nous ayons publié un correctif ou que 90 jours se soient écoulés depuis votre signalement, selon l’événement qui survient en premier. Nous pouvons convenir avec vous d’une autre date, par exemple une date plus tardive lorsqu’un correctif doit parvenir à des appareils installés sur le terrain, ou une date plus proche lorsque la vulnérabilité est en cours d’exploitation.
Vous pouvez communiquer vos constatations au propriétaire de l’installation que vous avez testée, et vous pouvez à tout moment signaler une vulnérabilité à un centre national de réponse aux incidents de sécurité informatique (CSIRT) ou à une autre autorité compétente.
6. Règles applicables aux tests de sécurité
- Ne testez que des installations dont vous êtes propriétaire ou exploitant, ou que leur propriétaire vous a autorisé à tester.
- Ne testez pas les systèmes, réseaux, appareils ou données d’autres personnes. N’effectuez pas d’analyses ni d’attaques contre les sites web et services en ligne d’EpiSensor : si vous y remarquez un problème, signalez-le sans poursuivre vos tests.
- Ne perturbez ni ne dégradez aucun service, réseau ou appareil, par exemple au moyen de tests de déni de service, et veillez à ne pas affecter les équipements qu’Edge surveille ou commande.
- N’accédez pas à des données qui ne vous appartiennent pas, et ne les copiez, conservez, modifiez, supprimez ou divulguez pas, au-delà du minimum nécessaire pour démontrer l’existence d’une vulnérabilité. Si vous atteignez de telles données, arrêtez-vous, informez-nous et supprimez toute copie que vous détenez.
- N’ayez pas recours à l’ingénierie sociale, à l’hameçonnage ou à des attaques physiques contre EpiSensor, son personnel, ses clients ou ses locaux.
- Respectez la loi. Le contrat de licence n’autorise la décompilation et toute autre forme d’ingénierie inverse que dans la mesure où la loi le permet.
7. Engagement de non-poursuite
Nous n’engagerons aucune action contre vous et ne demanderons à aucune autorité d’agir contre vous en raison des recherches en sécurité et des signalements que vous effectuez de bonne foi et conformément à la présente politique. Les mêmes conditions figurent dans le contrat de licence d’EpiSensor Edge, à l’article 2.3.
La présente politique ne peut autoriser le test de systèmes appartenant à autrui. En cas de doute, consultez-nous avant d’effectuer vos tests.
8. Mises à jour de sécurité et période d’assistance
Nous fournissons gratuitement des mises à jour de sécurité pour les logiciels et micrologiciels EpiSensor pendant au moins deux ans à compter de la publication d’une version ou de la fin de commercialisation du produit, la date la plus tardive étant retenue, ou plus longtemps lorsque la loi l’exige, par exemple pendant la période d’assistance que le règlement de l’UE sur la cyberrésilience impose pour les produits mis sur le marché de l’UE à compter du 11 décembre 2027. Une mise à jour de sécurité peut prendre la forme d’une nouvelle version du logiciel ou du micrologiciel.
Edge est mis à jour sous forme de snap ou au moyen de l’application de bureau System Manager, et le micrologiciel des appareils Zigbee qui prennent en charge cette fonction est mis à jour sans fil depuis Edge. Installez rapidement les mises à jour de sécurité : une version qui n’est plus couverte par sa période d’assistance n’en reçoit plus.