Offenlegung von Sicherheitslücken

Wie du ein Sicherheitsproblem in Arc OS meldest, was du von uns erwarten kannst sowie der Geltungsbereich und der Safe Harbor für gutgläubige Forschung.

Wie du meldest

• Schreibe eine E-Mail an [email protected]. Ein Problem pro Meldung.
• Gib an, was du gefunden hast, wo (URL, Endpunkt oder commit), die Schritte zur Reproduktion, die Auswirkung und jeden proof of concept.
• Bitte lege das Problem nicht öffentlich offen, bevor wir es behoben haben.

Was du von uns erwarten kannst

• Wir bestätigen deine Meldung innerhalb von 5 Werktagen.
• Wir geben innerhalb von 10 Werktagen eine erste Einschätzung (angenommen, weitere Informationen erforderlich oder außerhalb des Geltungsbereichs).
• Wir halten dich während der Behebung auf dem Laufenden und teilen dir mit, wenn das Problem behoben ist.
• Mit deiner Einwilligung nennen wir dich, sobald die Behebung live ist.

Geltungsbereich

Im Geltungsbereich:

• arc-os.co und seine Subdomains, die Arc OS Web-App und API sowie das arc CLI und sein Update-Kanal.

Außerhalb des Geltungsbereichs:

• Dienste von Drittanbietern, auf denen wir aufbauen (zum Beispiel Anthropic, Cloudflare, GitHub): melde diese beim jeweiligen Anbieter.
• Befunde, die ein kompromittiertes Gerät, ein gerootetes oder per Jailbreak verändertes Betriebssystem oder physischen Zugang zum Rechner einer Person erfordern.
• Social Engineering gegen unser Team oder unsere Nutzer, Spam und volumetrische Denial-of-Service-Angriffe.
• Ausgaben automatischer Scanner ohne nachgewiesene, ausnutzbare Auswirkung.

Safe Harbor

Wir werden keine rechtlichen Schritte gegen dich einleiten oder unterstützen, wenn du Sicherheitsforschung in gutem Glauben betreibst, die dieser Richtlinie folgt. Wenn du:

• dich in gutem Glauben bemühst, Verletzungen der Privatsphäre, die Zerstörung von Daten sowie die Unterbrechung oder Beeinträchtigung des Dienstes zu vermeiden,
• nur mit Konten interagierst, die dir gehören oder für deren Test du eine ausdrückliche Erlaubnis hast,
• die Daten anderer Nutzer nicht über das zum Nachweis des Problems notwendige Mindestmaß hinaus abrufst, veränderst oder aufbewahrst, und
• uns eine angemessene Zeit zur Behebung des Problems gibst, bevor du es öffentlich offenlegst,

dann betrachten wir deine Forschung als autorisiert, und wir arbeiten mit dir zusammen, um das Problem rasch zu lösen. Falls ein Dritter wegen einer Tätigkeit, die dieser Richtlinie folgte, rechtliche Schritte gegen dich einleitet, machen wir diese Autorisierung bekannt.

Dies ist kein bezahltes bug-bounty-Programm. Wir bieten derzeit keine monetären Belohnungen an.

Fragen

Schreibe eine E-Mail an [email protected]. Siehe auch den Sicherheitsüberblick und security.txt unter /.well-known/security.txt.