Varnost in podpora izdelkom

Informacije o obdobjih podpore za aktualne izdelke in informacije o koncu življenjske dobe (End-of-Life) za starejše izdelke so na voljo na chipolo.net/regulatory.

Za vsak ustrezen izdelek je na strani z regulativnimi informacijami navedeno, kako dolgo lahko uporabniki pričakujejo prejemanje ustreznih varnostnih posodobitev.

Varna nastavitev in uporaba

Za varno uporabo izdelkov Chipolo priporočamo, da:

• svojo napravo Android ali iOS redno posodabljate z najnovejšimi razpoložljivimi posodobitvami operacijskega sistema;
• poskrbite, da so na vaši napravi omogočeni Bluetooth in vsa potrebna dovoljenja aplikacije Chipolo, da lahko izdelek komunicira z aplikacijo in prejema razpoložljive posodobitve;
• aplikacijo Chipolo namestite iz trgovine Apple App Store ali Google Play in jo redno posodabljate na najnovejšo različico;
• poskrbite, da je vaš izdelek Chipolo dodan v aplikacijo Chipolo, saj se posodobitve vdelane programske opreme dostavljajo prek aplikacije in lahko, odvisno od izdelka, zahtevajo dejanje uporabnika;
• redno preverjate aplikacijo Chipolo glede morebitnih razpoložljivih posodobitev vdelane programske opreme in jih namestite.

Informacije o ponastavitvi, odstranitvi izdelka iz računa in izbrisu povezanih uporabniških podatkov so na voljo v informacijah podjetja Chipolo o podpori izdelkom in zasebnosti.

Dokumenti o skladnosti

Regulativne in varnostne informacije ter informacije o gospodarskih subjektih za posamezne izdelke, vključno z veljavnimi opozorili in informacijami za potrošnike, so na voljo na chipolo.net/regulatory.

Privzeta gesla

Za izdelke, ki spadajo na področje uporabe ureditve UK PSTI, Chipolo ne uporablja univerzalnih privzetih gesel. Kadar je potrebno preverjanje pristnosti, so poverilnice edinstvene za posamezen izdelek ali pa jih nastavi uporabnik.

Usklajeno razkrivanje ranljivosti

Izvajamo postopek usklajenega razkrivanja ranljivosti. Če menite, da ste odkrili varnostno ranljivost v izdelku Chipolo, aplikaciji Chipolo ali spletnih storitvah in infrastrukturi, ki jih upravlja Chipolo, nas kontaktirajte na security@chipolo.net.

Vsa poročila o ranljivostih obravnavamo v dobri veri. Naša varnostna ekipa bo začetno obravnavo in preverjanje kritičnih poročil začela hitro in brez nepotrebnega odlašanja. Za nekritična poročila si prizadevamo zagotoviti začetni odziv v 7 delovnih dneh. Kadar to zahteva veljavna zakonodaja, bo podjetje Chipolo izpolnilo svoje obveznosti poročanja o kibernetskovarnostnih incidentih in ranljivostih.

Zunaj obsega

Da se lahko osredotočimo na dejanske grožnje, se naslednje zadeve štejejo za zunaj obsega. Čeprav so nam informacije dobrodošle, ne pričakujte nujno pravočasnega odziva na poročila, ki se nanašajo izključno na:

• manjkajoče varnostne glave ali zastavice HTTP, na primer Strict-Transport-Security ali X-Frame-Options, brez dokazljive možnosti izkoriščanja;
• težave s konfiguracijo e-pošte, na primer manjkajoče ali šibko konfigurirane SPF, DKIM ali DMARC zapise;
• težave s konfiguracijo SSL/TLS, na primer šibke šifrirne algoritme ali zbirke, brez dokazljive možnosti izkoriščanja;
• izpise avtomatiziranih orodij za preverjanje ranljivosti brez dokazljive možnosti izkoriščanja ali ustreznega primera, kako bi bilo ugotovitve mogoče izkoristiti za napad;
• napade z zavajanjem klikov (clickjacking) na straneh, kjer ni občutljivih dejanj;
• fizične napade, uničujoče posege v strojno opremo ali tehnike, ki zahtevajo specializirano laboratorijsko opremo, razen če poročilo dokazuje praktičen vpliv na kibernetsko varnost pri razumno predvidljivi uporabi ali zlorabi;
• ranljivosti v platformah tretjih oseb, osnovnih operacijskih sistemih iOS ali Android ali partnerskih omrežjih za iskanje, vključno z Apple Find My in Google Find Hub.

Poleg tega so poročila, ki se nanašajo na zlorabo sicer delujoče naprave brez ugotovljene kibernetskovarnostne ranljivosti, na primer neželeno sledenje, zunaj obsega tega postopka razkrivanja ranljivosti. Če menite, da ste v neposredni nevarnosti ali da ste morda žrtev nezakonitega ravnanja, se obrnite na lokalne organe pregona ali ustrezne službe za pomoč in varnost.

Kaj vključiti v poročilo

Da nam pomagate učinkovito preveriti in odpraviti prijavljeno ranljivost, v poročilo vključite čim več ustreznih podrobnosti, kot so prizadeti izdelek Chipolo, aplikacija, storitev, različica vdelane ali programske opreme, koraki za ponovitev težave, morebiten varnostni vpliv ter morebiten dokaz koncepta (proof-of-concept), dnevniki, posnetki zaslona ali videoposnetki, ki jih je mogoče varno deliti. Sporočite nam tudi, ali se zdi, da je ranljivost javno znana ali se aktivno izkorišča, ter vključite zanesljiv način, kako vas lahko kontaktiramo za dodatna vprašanja.

Varnostna obvestila in obveščanje uporabnikov

Ko Chipolo odpravi ranljivost, ki lahko vpliva na uporabnike, bomo zagotovili ustrezne informacije in navodila za odpravo ali zmanjšanje tveganja prek primernih komunikacijskih kanalov. Ti lahko vključujejo strani za podporo izdelkom, varnostna obvestila, obvestila v aplikaciji, opombe ob posodobitvah vdelane ali programske opreme ali neposredno komunikacijo, kadar je to primerno. Javne informacije lahko vključujejo prizadeti izdelek ali storitev, opis vpliva, stopnjo resnosti, kadar je to primerno, razpoložljive ukrepe za zmanjšanje tveganja ali posodobitve ter priporočena dejanja za uporabnike, razen če je odloženo razkritje potrebno za zmanjšanje varnostnega tveganja.

Zasebnost in obdelava podatkov

Ko pošljete poročilo o ranljivosti na security@chipolo.net, podjetje Chipolo d.o.o. zbere omejene osebne podatke, kot so vaše ime ali vzdevek, e-poštni naslov in zgodovina komunikacije, izključno za namene začetne obravnave poročila, komunikacije z vami glede ranljivosti in izpolnjevanja naših regulativnih obveznosti.

Te podatke obdelujemo na pravni podlagi zakonitega interesa in zakonske obveznosti. Vaši osebni podatki bodo varno shranjeni, do njih bo imelo dostop samo pooblaščeno notranje osebje, hranjeni pa bodo le toliko časa, kolikor je potrebno za ublažitev ranljivosti in izpolnjevanje zakonsko določenih rokov za poročanje.

Informacije iz poročila lahko razkrijemo, kadar to zahteva zakon, tudi pristojnim organom, pri čemer vse posredovane osebne podatke omejimo na tisto, kar je nujno potrebno.

Za več informacij o tem, kako ravnamo z osebnimi podatki, ali za uveljavljanje svojih pravic do dostopa, popravka ali izbrisa podatkov si oglejte našo celotno politiko zasebnosti na chipolo.net/privacy.

Pravna varnost za raziskovalce

Varnostne raziskave in razkritja ranljivosti obravnavamo kot dovoljena, če so izvedena v dobri veri in v skladu s temi smernicami za razkritje.

Da ostanete zaščiteni v okviru te pravne varnosti, morate:

• vse podrobnosti o ranljivosti ohraniti strogo zaupne in javnosti ne razkriti nobenih uporabniških, finančnih ali lastniških podatkov. Vsako javno razkritje po uvedbi ukrepov za zmanjšanje tveganja ali popravka mora biti usklajeno z nami;
• se izogibati kršitvam zasebnosti, uničevanju podatkov ter prekinitvam ali poslabšanju naših storitev, na primer napadom za zavrnitev storitve (Denial of Service);
• se izogibati socialnemu inženiringu, lažnemu predstavljanju (phishing) ali fizičnim napadom na zaposlene v podjetju Chipolo, pisarne podjetja Chipolo ali našo dobavno verigo.

Če upoštevate te smernice in ravnate v dobri veri, podjetje Chipolo ne namerava sprožiti pravnih postopkov proti vam zaradi vaših raziskav. Upoštevajte, da ta pravna zaščita velja samo za sisteme pod neposrednim nadzorom podjetja Chipolo in se ne more razširiti na omrežja ali platforme tretjih oseb, kot sta Apple Find My ali Google Find Hub.