Security Policy
Als Unternehmen aus dem Bereich Cybersecurity nimmt ONEKEY die Sicherheitsrichtlinien sehr ernst. Um Transparenz im Umgang mit Sicherheitslücken im Produkt zu gewährleisten, finden Sie auf dieser Seite alle relevanten Informationen zur Meldung von Sicherheitslücken und dem entsprechenden Offenlegungsprozess.
Reporting
Als Sicherheitsunternehmen verpflichtet sich ONEKEY, dass alle seine Produkte solide und sicher implementiert sind.
Alle Sicherheitslücken in ONEKEY-Produkten sollten per E-Mail an security@onekey.com gemeldet werden. Wir empfehlen Ihnen dringend, den Inhalt Ihrer E-Mail mit unserem öffentlichen PGP-Schlüssel (siehe unten) zu verschlüsseln. Sicherheitslücken dürfen nicht über öffentliche Github-Issues gemeldet werden.
In Übereinstimmung mit der Responsible Full Disclosure Policy (RFPolicy) v2.0 wird Ihre E-Mail innerhalb von fünf Tagen bestätigt. Das Sicherheitsteam wird Sie dann mindestens alle fünf Tage über den Fortschritt der Fehlerbehebung und die vollständige Bekanntgabe auf dem Laufenden halten.
Offenlegungspolitik
ONEKEY verfügt über einen 5-stufigen Offenlegungsprozess.
- Der Sicherheitsreport wird entgegengenommen und einem primären Bearbeiter zugewiesen. Diese Person koordiniert den Behebungs- und Freigabeprozess.
- Das Problem wird bestätigt und eine Liste aller betroffenen Versionen erstellt.
- Der Code wird überprüft, um mögliche ähnliche Probleme zu finden.
- Korrekturen werden vorbereitet und auf die neueste Version angewendet. Diese Korrekturen werden nicht in das öffentliche Repository übernommen, sondern bis zur Bekanntgabe lokal gespeichert.
- Am Tag der Veröffentlichung wird die Empfehlung in das Wiki des betroffenen Repositorys gestellt, die Änderungen werden in das öffentliche Repository übernommen und neue Builds werden in den Package-Repositorys bereitgestellt. Eine Kopie der Empfehlung wird dann in den Versionshinweisen veröffentlicht.
Dieser Prozess kann einige Zeit in Anspruch nehmen, insbesondere wenn eine Abstimmung mit den Verantwortlichen anderer Projekte erforderlich ist. Wir werden uns bemühen, den Fehler so schnell wie möglich zu beheben, jedoch ist es wichtig, dass wir den oben beschriebenen Release-Prozess befolgen, um sicherzustellen, dass die Offenlegung einheitlich erfolgt.
Wir werden niemals stille Korrekturen gemeldeter Sicherheitsprobleme in unseren Code einfließen lassen. Unsere Sicherheitskorrekturen enthalten immer explizite Commit-Meldungen, in denen das Problem und die Korrektur detailliert beschrieben werden und gegebenenfalls auf eine CVE verwiesen wird. In unseren Sicherheitshinweisen wird der Melder immer mit seinem Namen, seinem Benutzernamen oder seiner E-Mail-Adresse genannt. Wenn der Melder anonym bleiben möchte, wird er als „anonymer Researcher” genannt.