Pensa di aver trovato una vulnerabilità di sicurezza in MBI Clone, nei suoi server o su questo sito? Ecco come scriverci, e che cosa facciamo poi.
Come contattarci
- Per e-mail:
Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo. , in francese o in inglese. - Per telefono: +33 3 89 65 90 45, nei giorni lavorativi.
- Il modulo di contatto va bene per un primo messaggio, senza dettagli tecnici.
Non abbiamo ancora una chiave di crittografia pubblica. Se la sua segnalazione contiene un dettaglio sensibile, lo indichi nel suo primo messaggio: concorderemo un mezzo di scambio crittografato. Non alleghi dati personali.
Che cosa riguarda
- Il software MBI Clone, il suo programma di installazione e i suoi aggiornamenti.
- I server di cui il software ha bisogno: attivazione e licenze, aggiornamenti, pacchetti di software, rilevazioni condivise, deposito dei rapporti di diagnostica.
- L’area clienti, questo sito e la sua pagina di abbonamento.
I servizi di altre aziende che utilizziamo (pagamento tramite Stancer, posta elettronica di Google, hosting presso OVH, invio di e-mail tramite Postmark), Windows stesso e i programmi installati da WinGet vanno segnalati al rispettivo produttore.
Che cosa ci aiuta
La versione di MBI Clone (pagina «Informazioni») e di Windows, ciò che è interessato, i passaggi per riprodurre il problema, ciò che un aggressore potrebbe ottenere, e una prova minima, senza dati reali di un cliente. Ci indichi anche come ricontattarla, e se desidera essere ringraziato pubblicamente.
I nostri impegni
- Una conferma di ricezione entro 5 giorni lavorativi.
- Una prima valutazione entro 10 giorni lavorativi: vulnerabilità confermata o meno, e la sua gravità.
- Una correzione, a titolo indicativo, entro 30 giorni per una vulnerabilità critica o elevata, entro 90 giorni per una vulnerabilità media, con una prossima versione per una vulnerabilità bassa.
- Notizie a ogni fase, e almeno ogni 30 giorni finché la vulnerabilità non è corretta.
Una vulnerabilità già sfruttata ha la precedenza su tutto il resto. La dichiariamo anche alle autorità, come previsto dal regolamento europeo sulla ciberresilienza.
Durante le sue ricerche
Le chiediamo di non accedere ai dati di un altro cliente, di non modificarli né conservarli, e di fermarsi non appena compare un dato di terzi; di non degradare il servizio (nessun test di negazione del servizio, nessun invio massivo); di non ricorrere alla manipolazione di persone né a un’intrusione fisica; e di non pubblicare nulla prima della correzione, o prima che siano trascorsi 90 giorni dalla sua segnalazione se non abbiamo concordato un’altra data.
Pubblicazione e ringraziamenti
Quando la correzione è disponibile, pubblichiamo un avviso di sicurezza: versioni interessate, versione corretta, gravità e che cosa deve fare l’utente, senza dettagli che aiuterebbero a sfruttare la vulnerabilità. La data si concorda con lei; può essere rinviata il tempo necessario perché gli utenti installino la correzione. Con il suo consenso, la ringraziamo nell’avviso.
Una vulnerabilità di un componente di un altro produttore integrato nel software, come l’ambiente .NET o gli strumenti openSeaChest, viene trasmessa anche al suo produttore.
Per gli strumenti automatici
Queste informazioni sono pubblicate anche nel formato standard security.txt, all’indirizzo mbiclone.com/.well-known/security.txt. I dati delle segnalazioni sono trattati come indicato nella pagina Privacy.