Segnalare una vulnerabilità

Come segnalare

security@zetaiti.com

Scrivi a questo indirizzo, in italiano o in inglese. Non pubblicare i dettagli da nessuna parte — una issue, un forum, i social — prima di aver concordato con noi una data di divulgazione.

Che cosa indicare

• il prodotto e la sua versione, e dove gira (sistema operativo, dispositivo, come è stato installato);
• in che cosa consiste la vulnerabilità e che cosa potrebbe farne un attaccante;
• i passi per riprodurla: una proof of concept, richieste, log o screenshot;
• se sai o sospetti che sia già sfruttata, o che altri la conoscano;
• come vuoi essere citato, oppure che preferisci di no;
• come possiamo contattarti.

Manda solo ciò che serve a mostrare il problema. Non includere dati personali di altre persone né credenziali funzionanti; se la tua prova ha raggiunto dati che non sono tuoi, dillo, fermati lì e non conservarli. Se devi mandare qualcosa di riservato, dillo in un primo messaggio senza i dettagli e concorderemo come riceverlo.

Che cosa succede dopo

• Conferma di ricezione entro 2 giorni lavorativi: una persona ti conferma che la segnalazione è arrivata.
• Prima valutazione entro 5 giorni lavorativi: se riusciamo a riprodurre il problema, quanto lo riteniamo grave e che cosa faremo.
• Ti teniamo aggiornato mentre lavoriamo alla correzione e ti avvisiamo quando è rilasciata.

Sono giorni lavorativi quelli dal lunedì al venerdì, esclusi i giorni festivi in Italia.

Divulgazione coordinata

• Ti chiediamo di mantenere riservati i dettagli per 90 giorni dalla segnalazione, o fino al rilascio di una correzione se avviene prima. Quando esce la correzione pubblichiamo un avviso, e da quel momento puoi pubblicare anche tu.
• Se una correzione richiede più di 90 giorni, te ne spieghiamo il motivo prima della scadenza e ti chiediamo più tempo; non spostiamo la data senza dirtelo.
• Se una vulnerabilità è sfruttata attivamente, possiamo avvisare prima gli utenti, con ciò che possono fare per proteggersi.
• L'avviso indica le versioni interessate, la versione corretta, la gravità e che cosa devono fare gli utenti, e ti cita, a meno che tu non preferisca di no.

Che cosa copre

I nostri prodotti — Zetaiti Platform (l'hub) con le sue app per telefono, orologio e desktop, e Vademac — e i nostri siti zetaiti.com e protolab.tech.

Versioni supportate

Le correzioni di sicurezza riguardano l'ultima release minore di ogni prodotto: la linea X.Y con il numero più alto e le sue release di patch X.Y.z. Le release minori precedenti non ricevono correzioni: aggiorna prima all'ultima release e dicci se il problema c'è ancora.

Fuori ambito

• su un hub Zetaiti Platform o in Vademac, ciò che una persona autenticata può fare entro i diritti del proprio account o ruolo. Un modo per fare più di quanto quei diritti consentono, anche attraverso un testo letto da un agente di IA (prompt injection), rientra invece nell'ambito;
• ciò che un modello di IA dice o decide da sé, a meno che non porti il nostro prodotto ad agire oltre quei diritti;
• prodotti e servizi di altre aziende che usiamo, a cui rimandiamo o a cui ci colleghiamo (per esempio GitHub, Cloudflare, Google, Microsoft, i fornitori di modelli): segnalali a loro, e dicci se il nostro prodotto ne è toccato;
• una vulnerabilità in una libreria di terzi senza un effetto dimostrato sul nostro prodotto (segnalala a chi la mantiene);
• versioni che non ricevono più correzioni;
• attacchi che richiedono l'accesso fisico a un dispositivo sbloccato, un dispositivo già compromesso (con root, jailbreak, infetto) o un account di cui l'attaccante conosce già la password;
• denial of service per volume (flooding, test di carico), spam, e social engineering o phishing verso le nostre persone;
• risultati di scanner automatici senza un impatto dimostrato, self-XSS, e intestazioni, impostazioni TLS, cookie o email (SPF, DKIM, DMARC) mancanti sui nostri siti senza un modo concreto di sfruttarle.

Ricompense e buona fede

Nessuna ricompensa

Non abbiamo un programma di bug bounty e non paghiamo le segnalazioni. Saremo lieti di citarti nell'avviso.

Ricerca in buona fede

Se agisci in buona fede e nel rispetto di questa policy — provi solo sistemi tuoi o che hai il permesso di provare (come una tua installazione), non accedi, non modifichi e non cancelli più dati di quanto serva a mostrare il problema, non interrompi un servizio e ci segnali il problema subito e in privato — non intraprenderemo azioni legali contro di te per quella ricerca.

Segnalazioni alle autorità

In base al Cyber Resilience Act dell'UE (Regolamento (UE) 2024/2847, articolo 14), quando veniamo a conoscenza di una vulnerabilità attivamente sfruttata in un nostro prodotto, o di un incidente grave che ne compromette la sicurezza, lo notifichiamo tramite la piattaforma unica di segnalazione dell'ENISA al CSIRT designato come coordinatore (per noi, CSIRT Italia) e all'ENISA, entro i termini previsti dal Regolamento, e informiamo gli utenti interessati. Se la tua segnalazione entra in una di queste notifiche te lo diciamo, e condividiamo solo ciò che serve alla notifica.

Avvisi

Nessuno pubblicato finora. Quando viene rilasciata la correzione di una vulnerabilità, il suo avviso compare qui, con le versioni interessate e quella corretta, la gravità e che cosa devono fare gli utenti.

Contatto in formato leggibile dalle macchine: security.txt (RFC 9116).