1. Ambito di applicazione
La presente politica riguarda le vulnerabilità di sicurezza dei prodotti e servizi EpiSensor: EpiSensor Edge (compresa l’edizione gratuita su Raspberry Pi), System Manager, Core, i Gateway EpiSensor, i dispositivi EpiSensor e il relativo firmware, nonché i siti web e i servizi online di EpiSensor. Riguarda inoltre il software di terze parti che EpiSensor include nei propri prodotti.
Una vulnerabilità in un prodotto di un altro produttore collegato a un prodotto EpiSensor va segnalata a tale produttore. Informa anche noi se la vulnerabilità incide sul funzionamento dei nostri prodotti con quel prodotto.
2. Come effettuare una segnalazione
Invia un’e-mail a security@episensor.com. Se possibile, scrivi in inglese. Se hai dubbi sul fatto che qualcosa costituisca una vulnerabilità, segnalalo comunque.
Lo stesso recapito è pubblicato in formato leggibile meccanicamente nel nostro file security.txt.
3. Cosa includere
- Il prodotto e la versione che hai testato, ad esempio la versione di Edge e l’hardware su cui viene eseguito, oppure l’indirizzo della pagina web.
- In che cosa consiste la vulnerabilità e che cosa potrebbe farne un attaccante.
- I passaggi per riprodurla, con l’eventuale codice proof of concept, i log o le schermate.
- Se ritieni che sia attualmente sfruttata.
- Se e in che modo desideri che il tuo contributo venga riconosciuto.
Non includere dati personali che non ti servono per dimostrare il problema.
4. I nostri impegni
- Confermiamo il ricevimento della tua segnalazione entro cinque giorni lavorativi.
- La valutiamo, ti comunichiamo se siamo in grado di riprodurla e ti teniamo al corrente fino alla sua risoluzione.
- Correggiamo le vulnerabilità confermate e rendiamo disponibili gratuitamente gli aggiornamenti di sicurezza, anche per l’edizione gratuita di Edge.
- Quando è disponibile una correzione, pubblichiamo un avviso di sicurezza che descrive la vulnerabilità, le versioni interessate e le modalità per correggerla o attenuarla e, se lo desideri, riconosciamo il tuo contributo.
- Notifichiamo le vulnerabilità attivamente sfruttate e gli incidenti gravi al CSIRT designato come coordinatore e all’ENISA, come previsto dal regolamento UE sulla ciberresilienza (regolamento (UE) 2024/2847), e indichiamo agli utenti interessati le misure che possono adottare per ridurre il rischio.
Non offriamo compensi per le segnalazioni.
5. Divulgazione coordinata
Ti chiediamo di darci la possibilità di correggere una vulnerabilità prima che i relativi dettagli siano resi pubblici. Se segnali una vulnerabilità, ti impegni a non pubblicarne i dettagli finché non avremo rilasciato una correzione o non saranno trascorsi 90 giorni dalla tua segnalazione, a seconda di quale evento si verifichi per primo. Possiamo concordare con te una data diversa, ad esempio una data successiva quando una correzione deve raggiungere dispositivi installati sul campo, o una data anteriore quando la vulnerabilità viene sfruttata.
Puoi condividere i risultati con il proprietario dell’installazione che hai testato e puoi segnalare in qualsiasi momento una vulnerabilità a un team nazionale di risposta agli incidenti di sicurezza informatica (CSIRT) o a un’altra autorità competente.
6. Regole per i test di sicurezza
- Esegui test soltanto su installazioni di cui sei proprietario o che gestisci, oppure che il relativo proprietario ti ha autorizzato a testare.
- Non testare sistemi, reti, dispositivi o dati altrui. Non eseguire scansioni o attacchi contro i siti web e i servizi online di EpiSensor: se noti un problema su di essi, segnalalo senza effettuare ulteriori test.
- Non interrompere né degradare alcun servizio, rete o dispositivo, ad esempio con test di tipo denial of service, e presta attenzione a non incidere sulle apparecchiature monitorate o controllate da Edge.
- Non accedere a dati che non ti appartengono, né copiarli, conservarli, modificarli, cancellarli o divulgarli, oltre il minimo necessario per dimostrare l’esistenza di una vulnerabilità. Se raggiungi tali dati, interrompi l’attività, informaci e cancella qualsiasi copia in tuo possesso.
- Non ricorrere a ingegneria sociale, phishing o attacchi fisici contro EpiSensor, il suo personale, i suoi clienti o le sue sedi.
- Rispetta la legge. Il contratto di licenza ammette la decompilazione e le altre forme di reverse engineering soltanto nella misura consentita dalla legge.
7. Tutela legale (safe harbour)
Non faremo valere alcuna pretesa nei tuoi confronti, né chiederemo ad alcuna autorità di procedere contro di te, per attività di ricerca sulla sicurezza e segnalazioni che effettui in buona fede e in conformità alla presente politica. Le stesse condizioni fanno parte del contratto di licenza di EpiSensor Edge, alla sezione 2.3.
La presente politica non può autorizzare test su sistemi che appartengono ad altri. In caso di dubbio, chiedici prima di eseguire test.
8. Aggiornamenti di sicurezza e periodo di assistenza
Forniamo gratuitamente aggiornamenti di sicurezza per il software e il firmware EpiSensor per almeno due anni dal rilascio di una versione o dalla cessazione della vendita del prodotto, a seconda di quale data sia successiva, o per un periodo più lungo ove richiesto dalla legge, ad esempio il periodo di assistenza che il regolamento UE sulla ciberresilienza prevede per i prodotti immessi sul mercato dell’UE a partire dall’11 dicembre 2027. Un aggiornamento di sicurezza può consistere in una nuova versione del software o del firmware.
Edge viene aggiornato come snap o tramite l’app desktop System Manager, e il firmware dei dispositivi Zigbee che lo supportano viene aggiornato da Edge in modalità over the air. Installa tempestivamente gli aggiornamenti di sicurezza: una versione al di fuori del proprio periodo di assistenza non li riceve più.