Verantwortungsvolle Offenlegungspolitik
Digi International Inc. ist bestrebt, sicherzustellen, dass unsere Kunden Vertrauen in die Sicherheit unserer Produkte und Dienstleistungen haben. Wenn Sie eine Sicherheitslücke auf Digi.com oder einem Produkt oder einer Dienstleistung der Marke Digi entdeckt haben, bitten wir Sie, uns diese in Übereinstimmung mit diesem Responsible Disclosure Standard mitzuteilen.
Um unseren Kunden und Forschern einen sicheren Mechanismus zu bieten, arbeiten wir mit Bugcrowd Inc. ("Bugcrowd") zusammen und nutzen deren Plattform für das Vulnerability Disclosure Program. Nach der Validierung einer Meldung behebt Digi die Schwachstellen in Übereinstimmung mit unseren Risikomanagementstandards, um die Vertraulichkeit, Integrität und Verfügbarkeit unserer Infrastruktur und Produkte zu gewährleisten.
Um eine vermutete Sicherheitslücke zu melden, übermitteln Sie bitte detaillierte Informationen mit Hilfe des Formulars am Ende dieser Seite. Bitte lesen Sie den Abschnitt über die Daten des Schwachstellenberichts, um Vorschläge zu erhalten, was Sie als Falldetails angeben sollten.
Sicherheitsdekoration
Im Folgenden werden die von uns erwarteten Verhaltensweisen, Umgangsformen und Grundsätze für Interaktionen im Zusammenhang mit sicherheitsrelevanten Aktivitäten bei der Teilnahme an unserem Programm zur Offenlegung von Sicherheitslücken beschrieben.
- Halten Sie stets die Datenschutzbestimmungen ein und verletzen Sie nicht die Privatsphäre unserer Nutzer, Mitarbeiter, Auftragnehmer, Dienste oder Systeme.
- Sie dürfen z. B. die aus den Systemen oder Diensten abgerufenen Daten nicht weitergeben, weiterverteilen oder nicht ordnungsgemäß sichern.
- Sie dürfen nicht auf Daten, die Ihnen nicht gehören, zugreifen, sie herunterladen oder verändern.
- Veröffentlichen Sie keine identifizierten oder angeblichen Schwachstellen, die in Ihrer Einsendung angesprochen werden, ohne ausdrückliche schriftliche Zustimmung von Digi an die Öffentlichkeit oder an Dritte.
- Löschen Sie alle Daten, die Sie im Rahmen Ihrer Nachforschungen erhalten haben, sicher, sobald sie nicht mehr benötigt werden oder innerhalb eines Monats nach Behebung der Schwachstelle, je nachdem, was zuerst eintritt (oder wie es das Datenschutzrecht vorschreibt).
Lebenszyklus der Einreichungskommunikation
Das Sicherheitsteam von Digi ist bestrebt, sich so transparent und schnell wie möglich mit den Forschern abzustimmen. Der Lebenszyklus der Einreichung umfasst Folgendes:
- Der Forscher oder Kunde reicht das Formular gemäß unserem Standard und Programm zur Offenlegung von Schwachstellen ein.
- Jegliche Kommunikation mit Digi über die eingereichte Schwachstelle erfolgt über die E-Mail, die bei der Einreichung auf der Bugcrowd-Plattform zur Offenlegung von Schwachstellen angegeben wurde. (Hinweis: Um mit Digi und dem Sicherheitsteam von Bugcrowd zu kommunizieren, müssen Sie die Meldung über eine von Bugcrowd an Ihre E-Mail gesendete E-Mail-Validierung geltend machen).
- Das für die Koordination von Sicherheitslücken zuständige Sicherheitsteam von Digi bestätigt den Eingang potenzieller Sicherheitslücken innerhalb von vier Tagen nach der Meldung. Bei Zero-Day-Schwachstellen bestätigen wir den Eingang potenzieller Zero-Day-Schwachstellen innerhalb von 24 Stunden nach der Meldung.
- Das Sicherheitsteam von Digi ist in der Kommunikationskette als Digi_Sec_(Name des Digi-Mitarbeiters) angegeben und wird den Einsender während des gesamten Lebenszyklus der Schwachstelle kontinuierlich auf dem Laufenden halten.
- Bugcrowd und das Sicherheitsteam von Digi werden die Schwachstelle anhand unseres Risikoklassifizierungssystems bewerten.
- Sobald die Gültigkeit der Sicherheitslücke festgestellt wurde, wird sie gemäß dem Lebenszyklus-Managementprozess des Produktteams eingestuft. Die Ergebnisse können Maßnahmen gemäß den Patch-Richtlinien von Digi erfordern, die hier zu finden sind: https://www.digi.com/resources/security/security-policies
- Für alle anderen Produktunterstützungserklärungen, einschließlich Informationen über End-of-Life-Produkte ("EOL"), besuchen Sie bitte: https://www.digi.com/support/support-policy
Meldepflichten – EU-Gesetz zur Cyberresilienz, Artikel 14
Zusätzlich zu dem oben beschriebenen Einreichungszyklus unterliegt Digi International den in Artikel 14 der Verordnung (EU) 2024/2847 (dem „Cyber Resilience Act“ oder „CRA“) festgelegten Meldepflichten in Bezug auf Digi-Produkte mit digitalen Elementen, die auf dem Markt der Europäischen Union bereitgestellt werden. Diese Verpflichtungen gelten ab dem 11. September 2026. Dieser Abschnitt beschreibt ausschließlich die Meldepflichten von Digi; er ändert nichts an den an anderer Stelle in diesem Standard dargelegten Verfahren zur Einreichung, Triage oder Behebung.
Meldepflichtige Ereignisse
Gemäß Artikel 14 ist Digi verpflichtet, das als Koordinator benannte CSIRT und die ENISA gleichzeitig über die gemäß Artikel 16 des CRA eingerichtete einheitliche Meldeplattform zu benachrichtigen, sobald es Kenntnis von einem der folgenden Sachverhalte erlangt:
- Eine aktiv ausgenutzte Sicherheitslücke in einem Digi-Produkt mit digitalen Komponenten.
- Ein schwerwiegender Vorfall, der Auswirkungen auf die Sicherheit eines Digi-Produkts mit digitalen Komponenten hat. Gemäß Artikel 14 Absatz 5 gilt ein Vorfall als schwerwiegend, wenn er die Fähigkeit des Produkts, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, beeinträchtigt oder beeinträchtigen kann; oder wenn er zur Einschleusung oder Ausführung von Schadcode in das Produkt oder in die Netz- und Informationssysteme eines Nutzers des Produkts geführt hat oder führen kann.
Fristen für die Berichterstattung
Alle Fristen beginnen ab dem Zeitpunkt, zu dem Digi von dem auslösenden Ereignis Kenntnis erlangt.
Bei einer aktiv ausgenutzten Sicherheitslücke (Artikel 14 Absatz 2):
- Frühwarnmeldung – unverzüglich und in jedem Fall innerhalb von 24 Stunden, nachdem Digi davon Kenntnis erlangt hat, wobei gegebenenfalls anzugeben ist, in welchen Mitgliedstaaten das betroffene Produkt nach Kenntnis von Digi auf dem Markt bereitgestellt wurde.
- Meldung einer Sicherheitslücke – unverzüglich und in jedem Fall innerhalb von 72 Stunden, nachdem Digi davon Kenntnis erlangt hat, unter Angabe allgemeiner Informationen, soweit verfügbar, über das betroffene Produkt, die allgemeine Art des Exploits und der Sicherheitslücke, bereits ergriffene Abhilfemaßnahmen oder Maßnahmen zur Risikominderung, Abhilfemaßnahmen oder Maßnahmen zur Risikominderung, die Nutzer ergreifen können, sowie gegebenenfalls einen Hinweis darauf, wie sensibel Digi die gemeldeten Informationen einschätzt.
- Abschlussbericht – spätestens 14 Tage nach Bereitstellung einer Korrektur- oder Abhilfemaßnahme, einschließlich mindestens einer Beschreibung der Sicherheitslücke sowie ihres Schweregrads und ihrer Auswirkungen; sofern verfügbar, Informationen über böswillige Akteure, die die Sicherheitslücke ausgenutzt haben oder derzeit ausnutzen; sowie Einzelheiten zum Sicherheitsupdate oder zu anderen Korrekturmaßnahmen, die zur Behebung der Sicherheitslücke bereitgestellt wurden.
Bei einem schwerwiegenden Vorfall (Artikel 14 Absatz 4):
- Frühwarnmeldung – unverzüglich und in jedem Fall innerhalb von 24 Stunden, nachdem Digi davon Kenntnis erlangt hat, einschließlich zumindest der Angabe, ob der Verdacht besteht, dass der Vorfall durch rechtswidrige oder böswillige Handlungen verursacht wurde, sowie gegebenenfalls unter Angabe der Mitgliedstaaten, in deren Hoheitsgebiet Digi Kenntnis davon hat, dass das betroffene Produkt bereitgestellt wurde.
- Meldung von Vorfällen – unverzüglich und in jedem Fall innerhalb von 72 Stunden, nachdem Digi davon Kenntnis erlangt hat, unter Angabe allgemeiner Informationen, soweit verfügbar, über die Art des Vorfalls, eine erste Einschätzung des Vorfalls, etwaige ergriffene Abhilfemaßnahmen oder Maßnahmen zur Schadensminderung, Abhilfemaßnahmen oder Maßnahmen zur Schadensminderung, die Nutzer ergreifen können, sowie gegebenenfalls einen Hinweis darauf, wie sensibel Digi die gemeldeten Informationen einschätzt.
- Abschlussbericht – innerhalb eines Monats nach Einreichung der Vorfallmeldung, der mindestens eine detaillierte Beschreibung des Vorfalls sowie dessen Schweregrad und Auswirkungen, die Art der Bedrohung oder der Grundursache, die den Vorfall wahrscheinlich ausgelöst hat, sowie die ergriffenen und laufenden Abhilfemaßnahmen enthält.
Auf Antrag des als Koordinator benannten CSIRT, das eine Meldung ursprünglich entgegennimmt, legt Digi gemäß Artikel 14 Absatz 6 einen Zwischenbericht über relevante Statusaktualisierungen vor.
Hinweis für Nutzer
Sobald Digi Kenntnis von einer aktiv ausgenutzten Sicherheitslücke oder einem schwerwiegenden Vorfall erhält, der die Sicherheit eines Produkts mit digitalen Elementen beeinträchtigt, informiert Digi die betroffenen Nutzer dieses Produkts und gegebenenfalls alle Nutzer über die Sicherheitslücke oder den Vorfall sowie, falls erforderlich, über Risikominderungs- und Abhilfemaßnahmen, die die Nutzer ergreifen können, um die Auswirkungen zu mindern – gegebenenfalls in einem strukturierten, maschinenlesbaren Format, das sich leicht automatisch verarbeiten lässt, wie in Artikel 14 Absatz 8 vorgesehen.
Auswirkungen auf die Einreicher
- Die in einer Einreichung gemäß diesem Standard bereitgestellten Informationen können von Digi zur Erstellung und Untermauerung der gemäß Artikel 14 erforderlichen Meldungen verwendet werden.
- Die Meldungen von Digi gemäß Artikel 14 erfolgen vertraulich an das benannte CSIRT und die ENISA und stellen keine öffentliche Bekanntgabe dar. Die im Abschnitt „Sicherheitsrichtlinien“ festgelegten Vertraulichkeitserwartungen gelten weiterhin für die Einreicher, es sei denn, Digi erteilt ausdrücklich eine schriftliche Zustimmung zur Offenlegung.
- Die Fristen gemäß Artikel 14 beginnen ab dem Zeitpunkt, zu dem Digi von einem auslösenden Ereignis Kenntnis erlangt, unabhängig von den im Abschnitt „Lebenszyklus der Einreichungskommunikation“ beschriebenen Bestätigungsverpflichtungen.
- Sollten Sie Hinweise darauf haben, dass eine Sicherheitslücke aktiv ausgenutzt wird, geben Sie dies bitte deutlich und gut sichtbar am Anfang Ihrer Meldung an, damit Digi die 24-Stunden-Frist für die Frühwarnung unverzüglich prüfen kann.
So kennzeichnen Sie eine CRA-Einreichung
Wenn sich Ihre Meldung auf ein Digi-Produkt mit digitalen Elementen bezieht, das auf dem Markt der Europäischen Union erhältlich ist, und Sie der Ansicht sind, dass es sich um eine aktiv ausgenutzte Sicherheitslücke oder einen schwerwiegenden Vorfall im oben beschriebenen Sinne handeln könnte, leiten Sie diese bitte so weiter, dass das Sicherheitsteam von Digi sie umgehend identifizieren kann:
- Ziel: Wählen Sie „Cyber Resilience Act (CRA)“ aus dem Dropdown-Menü „Ziel“ im eingebetteten Bugcrowd-Formular zur Fehlermeldung aus.
- Zusammenfassender Titel: Fügen Sie den Text „Cyber Resilience Act (CRA)“ in den zusammenfassenden Titel Ihres Beitrags ein, zusammen mit Ihrer üblichen Kurzbeschreibung des Themas.
Die Auswahl des CRA-Ziels und die Aufnahme des Begriffs „Cyber Resilience Act (CRA)“ in den Titel der Zusammenfassung haben keinen Einfluss darauf, wie die Einreichung gemäß diesem Standard geprüft oder bewertet wird. Dies ermöglicht es Digi, die Berichtsfristen gemäß Artikel 14 unverzüglich zu prüfen.
Enthaltene Einreichungsarten
- Schwachstellen in der Geschäftslogik
- OWASP Top 10
- Offenlegung von Informationen
- Datenexposition
- Autorisierungs-/Authentifizierungsprobleme
- Alles, was nicht in der obigen Liste aufgeführt ist und die Vertraulichkeit, Integrität oder Verfügbarkeit von Digi-Systemen, -Dienstleistungen oder Digi-Eigentum beeinträchtigen könnte oder derzeit beeinträchtigt, kann eingereicht werden.
Daten des Schwachstellenberichts
Die folgenden Informationen würden dem Sicherheitsteam von Digi und Bugcrowd helfen, die Schwachstelle zu validieren und einzugrenzen.
- Produkt- oder Dienstname, URL oder betroffene Firmware-Version
- Betriebssystem der beteiligten Komponenten
- Informationen zur Version
- Technische Beschreibung der durchgeführten Maßnahmen und des Ergebnisses, so detailliert wie möglich
- Beispielcode, der zum Testen oder Demonstrieren der Schwachstelle verwendet wurde
- Kontaktinformationen des Reporters
- Andere beteiligte Parteien, falls zutreffend
- Pläne zur Offenlegung
- Bedrohungs-/Risikobewertung Einzelheiten zu den ermittelten Bedrohungen und/oder Risikostufen (P1(kritisch)P2(schwer) P3(mäßig)P4(gering)P5(informell))
- Softwarekonfiguration des Computers oder Gerätekonfiguration zum Zeitpunkt der Entdeckung der Sicherheitslücke
- Relevante Informationen über angeschlossene Komponenten und den Zeitpunkt des Auftretens der Schwachstelle (z. B. eine sekundäre Komponente oder ein Gerät, das die Schwachstelle auslöst)
- Uhrzeit und Datum der Entdeckung
- Browser-Informationen einschließlich Typ und Version, falls zutreffend
- Jegliche Hinweise oder Anzeichen dafür, dass die Sicherheitslücke aktiv ausgenutzt wird, einschließlich festgestellter Zeitpunkte, Indikatoren für eine Kompromittierung und festgestellter Auswirkungen
System zur Risikoklassifizierung
Für die anfängliche Priorisierung/Einstufung der Ergebnisse wird dieses Programm die Bugcrowd-Taxonomie zur Bewertung von Schwachstellen verwenden. In einigen Fällen wird die Priorität einer Schwachstelle jedoch aufgrund ihrer Wahrscheinlichkeit oder ihrer Auswirkungen geändert. In jedem Fall, in dem eine Schwachstelle herabgestuft wird, erhält der Forscher eine ausführliche, detaillierte Erklärung und die Möglichkeit, Einspruch zu erheben und eine höhere Priorität zu beantragen. Bevor Sie Informationen zur Risikobewertung einreichen, beachten Sie bitte die Schweregradeinteilung, die wir auf der Bugcrowd-Plattform vornehmen:
- P1 Kritisch: Das in der Meldung identifizierte Problem hat die höchste Priorität und sollte den Hauptblockern zugeordnet werden. In der Regel führen Einsendungen mit der Priorität P1, die als schwerwiegender Blocker eingestuft werden, dazu, dass die Anwendung unbrauchbar wird, der Geschäftsbetrieb gestört werden kann und sofortige Aufmerksamkeit erforderlich ist.
- P2 Schwerwiegend: Das in der Vorlage genannte Problem ist nicht kritisch, hat aber erhebliche Auswirkungen auf die Anwendung.
- P3 Mäßig: Die Meldung stellt kein kritisches oder schwerwiegendes Problem dar, deckt aber einen Fehler in der Anwendung auf, der behoben werden muss.
- P4 Niedrig: Diese Meldung hat die niedrigste Priorität und stellt ein geringfügiges Problem dar.
- P5 Informativ: Diese Vorlage kann verdächtige Informationen liefern, aber nicht schlüssig, ob sie ein Risiko darstellt.
Die internen Prioritätsbewertungen von Digi gemäß diesem Abschnitt dienen der Triage und der Planung von Abhilfemaßnahmen. Sie sind unabhängig davon, ob ein Vorfall die in Artikel 14 festgelegten Schwellenwerte für eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Vorfall gemäß dem Abschnitt „Behördenmeldungen“ erfüllt, und haben keinen Einfluss darauf.
Verbotene Handlungen
Die folgenden Handlungen sind nach dieser Norm verboten. Digi International behält sich alle gesetzlichen Rechte vor, wenn Sie eine dieser verbotenen Handlungen vornehmen.
- Tests auf den folgenden Subdomains: https://my.digi.com, https://shop.digi.com, https://partner.digi.com sind strengstens untersagt. Bitte lesen Sie die Programmbeschreibung durch und wenden Sie sich bei Fragen an den Bugcrowd-Support.
- Die Eröffnung von Supportfällen auf unserer Website ist strengstens untersagt. Bitte lesen Sie die Programmbeschreibung und wenden Sie sich bei Fragen an den Bugcrowd-Support.
- Denial of Service (DoS) und Distributed Denial of Service (DDoS)
- Wenn eine Schwachstelle entdeckt wird, mit der ein DoS- oder DDoS-Angriff durchgeführt werden kann, übermitteln Sie bitte die entdeckten Informationen, führen Sie den Angriff jedoch nicht durch.
- DoS-Tests gegen Produkte von Digi International, die sich im alleinigen Besitz des Forschers oder Kunden befinden, sind zulässig, wenn sie in einem Netz durchgeführt werden, das einem Forscher oder Kunden gehört und von ihm betrieben wird.
- Spam-Meldungen oder Aufforderung
- Phishing, Vishing, Spear-Phishing-Berichte
- Social-Engineering-Berichte
- Offene Ports ohne begleitende Demonstration oder Nachweis eines Konzepts für die Verwundbarkeit
- Ergebnisse automatischer Tools ohne detaillierte Erklärung, welche Teile anfällig sind und wie die Schwachstelle ausgenutzt werden könnte