Nasze podejście do bezpieczeństwa
Staged od podstaw projektujemy z myślą o bezpieczeństwie. Stosujemy dobre praktyki branżowe i otwarcie mówimy o tym, jak dbamy o bezpieczeństwo.
Sterownik w trybie użytkownika
Staged korzysta z frameworka IddCx od Microsoftu, który działa w całości w trybie użytkownika. Bez dostępu do jądra, bez kodu w ring 0, bez ryzyka na poziomie systemu.
Podpisane pliki
Wszystkie dystrybuowane pliki są podpisane cyfrowo. Niepodpisane buildy wywołają ostrzeżenia zabezpieczeń Windowsa.
Przejrzystość
Przejrzystość jest u podstaw Staged. Dokumentujemy dokładnie, co aplikacja robi w twoim systemie – bez ukrytych działań i bez niespodzianek.
Bez dostępu do sieci
Staged nie potrzebuje internetu do działania. Główna aplikacja nie wysyła telemetrii, nie ma analityki i nie zbiera danych.
Zgłaszanie podatności
Jeśli znajdziesz podatność, zgłoś ją odpowiedzialnie. Dziękujemy za pomoc w dbaniu o bezpieczeństwo Staged i naszych użytkowników.
Dane kontaktowe
Zgłoszenia dotyczące bezpieczeństwa wysyłaj na jeden z tych adresów:
Co zgłaszać
- Zdalne wykonanie kodu
- Eskalacja uprawnień
- Błędy uszkodzenia pamięci
- Obejście uwierzytelniania lub autoryzacji
- Ujawnienie lub wyciek danych
- Podatności typu denial of service
- Problemy bezpieczeństwa związane ze sterownikiem
Poza zakresem
- Ataki socjotechniczne
- Ataki wymagające fizycznego dostępu
- Problemy w zależnościach (zgłaszaj u źródła)
- Podatności już znane lub publiczne
- Problemy wymagające rozbudowanej interakcji użytkownika
Proces odpowiedzialnego ujawniania
Stosujemy proces odpowiedzialnego ujawniania, żeby podatności zostały właściwie usunięte przed publikacją.
Zgłoszenie
Wyślij szczegóły podatności na nasz adres ds. bezpieczeństwa. Dołącz kroki do odtworzenia.
Potwierdzenie
Potwierdzimy otrzymanie zgłoszenia w ciągu 48 godzin i rozpoczniemy analizę.
Analiza
Nasz zespół przeanalizuje problem i oceni jego wagę oraz wpływ.
Poprawka
Przygotujemy i przetestujemy poprawkę, informując cię na bieżąco o postępach.
Publikacja
Wydamy poprawkę i opublikujemy komunikat bezpieczeństwa z podziękowaniem dla ciebie (jeśli chcesz).
Do czego się zobowiązujemy
- Potwierdzimy otrzymanie zgłoszenia w ciągu 48 godzin
- Przeanalizujemy problem i przekażemy wstępną ocenę w ciągu 7 dni
- Będziemy cię informować o postępach przez cały proces
- Wymienimy cię w komunikacie bezpieczeństwa (jeśli chcesz)
- Nie podejmiemy kroków prawnych wobec badaczy działających w dobrej wierze