当社のセキュリティへの取り組み
Staged は最初からセキュリティを念頭に設計されています。業界のベストプラクティスに従い、当社のセキュリティ体制について透明性を保っています。
ユーザーモードドライバー
Staged は完全にユーザーモードで動作する Microsoft の IddCx フレームワークを使用しています。カーネルアクセスも、ring-0 コードも、システムレベルのリスクもありません。
署名済みバイナリ
配布されるすべてのバイナリはデジタル署名されています。署名のないビルドは Windows のセキュリティ警告を引き起こします。
オープンソース
Staged は透明性を第一に開発されています。アプリがシステム上で何を行うかを正確に文書化しており、隠れた動作や不意打ちはありません。
ネットワークアクセスなし
Staged の動作にインターネット接続は必要ありません。コアアプリにはテレメトリも、分析も、データ収集もありません。
脆弱性の報告
セキュリティの脆弱性を発見した場合は、責任を持って報告してください。Staged とユーザーの安全を守るためのご協力に感謝します。
報告すべき内容
- リモートコード実行の脆弱性
- 権限昇格の問題
- メモリ破損のバグ
- 認証または認可のバイパス
- データの露出または漏洩
- サービス拒否の脆弱性
- ドライバー関連のセキュリティ問題
対象外
- ソーシャルエンジニアリング攻撃
- 物理アクセスによる攻撃
- 依存関係の問題（上流へ報告してください）
- すでに既知／公開済みの脆弱性
- 大量のユーザー操作を必要とする問題
責任ある開示プロセス
脆弱性が公開前に適切に対処されるよう、当社は責任ある開示プロセスに従っています。
1
報告
脆弱性の詳細を当社のセキュリティメールへ送信してください。再現手順を含めてください。
2
受領確認
48時間以内に受領を確認し、調査を開始します。
3
調査
当社のチームが調査し、深刻度と影響を判断します。
4
修正
修正を開発・テストし、進捗状況をお知らせします。
5
リリース
修正がリリースされ、（ご希望があれば）クレジット付きでセキュリティアドバイザリーが公開されます。
当社のお約束
- 受領を48時間以内に確認します
- 調査を行い、7日以内に初期評価を提供します
- 進捗状況をお知らせし、プロセス全体を通じて情報を共有します
- クレジットを付与し、セキュリティアドバイザリーに記載します（ご希望があれば）
- 法的措置を取りません。誠実な研究者に対して法的措置を講じることはありません