SICHERHEIT

Schwachstelle melden.

Wenn Sie ein Sicherheitsproblem in VoxisLive gefunden haben, erfahren Sie auf dieser Seite, wohin Sie es schicken, was wir damit tun und was wir Ihnen im Gegenzug zusagen. Wir betreiben kein bezahltes Bounty-Programm — dies ist eine Richtlinie zur Offenlegung von Schwachstellen, und sie ist so geschrieben, dass sie eingehalten wird.

Wohin Sie die Meldung schicken

Schreiben Sie an [email protected] mit „security“ in der Betreffzeile. Dieselbe Adresse ist in unserer security.txt veröffentlicht, der maschinenlesbaren Fassung dieser Seite.

Bitte eröffnen Sie für ein Sicherheitsproblem kein öffentliches GitHub-Issue. Das dortige Repository ist ein schreibgeschützter Auszug, der zur Prüfung veröffentlicht ist, und ein Issue darin ist ab dem Moment des Absendens für alle lesbar.

Was Ihre Meldung enthalten sollte

Eine Meldung, die wir nachvollziehen können, ist weit mehr wert als ein Scanner-Ergebnis. Je mehr davon Sie uns geben können, desto schneller wird das Problem behoben:

  • Was Sie gefunden haben, in ein bis zwei Sätzen.
  • Wo — die genaue URL, die App-Version oder die Version der Erweiterung.
  • Schritte zum Reproduzieren, in der Reihenfolge, in der Sie sie durchgeführt haben.
  • Was eine angreifende Person damit tatsächlich anfangen könnte. Ein Fund ohne konkreten Angriffsweg ist weiterhin willkommen, aber sagen Sie es dann bitte ehrlich, statt ihn aufzubauschen.
  • Alles, was uns bei der Bestätigung hilft: ein Request/Response-Paar, ein Screenshot, ein kurzes Video.

Bitte fügen Sie keine Daten anderer Personen bei. Falls Ihr Proof-of-Concept das Konto, das Transkript oder die E-Mail-Adresse einer anderen Person offenlegt, teilen Sie uns mit, dass das der Fall ist, und hören Sie an dieser Stelle auf — sammeln Sie diese Daten nicht und hängen Sie sie nicht an die Meldung an.

Was wir zusagen

  • Wir bestätigen den Eingang innerhalb eines Werktags, spätestens innerhalb von zwei. Werktage sind Montag bis Freitag, türkische Zeit (UTC+3). Das ist dieselbe Zusage, die wir auf jedem anderen Support-Kanal geben.
  • Wir sagen Ihnen, was wir denken. Sie erhalten unsere Einschätzung — bestätigt, nicht reproduzierbar oder anerkannt, aber nicht behoben — und die Begründung dazu, kein stilles Schließen.
  • Wir halten Sie auf dem Laufenden, während wir daran arbeiten, statt bis zur Auslieferung zu schweigen.
  • Wir nennen Sie, wenn Sie das möchten, unter dem Namen oder Handle Ihrer Wahl, auf dieser Seite. Sie können auch anonym bleiben.
  • Wir sagen Ihnen Bescheid, wenn das Problem behoben ist, und wir bitten Sie nicht, es für immer geheim zu halten.

Um eines bitten wir im Gegenzug: Geben Sie uns ein angemessenes Zeitfenster, um das Problem zu beheben, bevor Sie es veröffentlichen. Neunzig Tage sind der Richtwert, an dem wir uns orientieren, und wenn etwas länger dauert, sprechen wir lieber mit Ihnen darüber, als die Frist stillschweigend ablaufen zu lassen.

Schutz vor rechtlichen Schritten (Safe Harbour)

Wenn Sie sich nach bestem Wissen und Gewissen an diese Richtlinie halten, gehen wir nicht rechtlich gegen Sie vor und wenden uns auch nicht an Ihren Hosting-Anbieter oder Ihren Arbeitgeber. Wir behandeln Ihre Forschung als autorisiert, und falls Dritte deswegen Ansprüche erheben, stellen wir klar, dass Sie im Rahmen dieser Richtlinie gehandelt haben.

„Nach bestem Wissen und Gewissen“ heißt: Sie haben aufgehört, sobald Sie einen Nachweis hatten, Sie haben keine fremden Daten abgerufen, verändert oder zerstört, Sie haben den Dienst für andere nicht beeinträchtigt, und Sie haben uns die Gelegenheit gegeben, das Problem zuerst zu beheben. Dieser Schutz gilt für das, was diese Seite in den Geltungsbereich aufnimmt — er kann die Systeme unserer Anbieter nicht abdecken und ist keine Erlaubnis, sie anzugreifen.

Im Geltungsbereich

  • voxislive.com und die Sprach-Unterpfade, dazu die dortigen Konto-, Anmelde- und Abrechnungsabläufe.
  • Die Auth- und Nutzungs-API, mit der die Apps sprechen.
  • Die Windows-Desktop-Anwendung und das Linux-Snap.
  • Die Browser-Erweiterung für Chrome und Edge.
  • Das Unternehmens-Panel, sofern Ihnen ein Zugang dazu eingerichtet wurde.

Außerhalb des Geltungsbereichs

Diese Dinge können wir entweder nicht autorisieren, oder sie sagen uns nichts, worauf wir reagieren könnten:

  • Denial of Service, Lasttests oder alles, was den Dienst für echte Nutzerinnen und Nutzer beeinträchtigt.
  • Social Engineering gegenüber unserem Team, unseren Kundinnen und Kunden oder unseren Anbietern; Phishing; Versuche, sich physischen Zugang zu verschaffen.
  • Die Systeme unserer Unterauftragsverarbeiter — Google, Alibaba Cloud, Polar und Resend betreiben jeweils eigene Disclosure-Programme, und wir können Ihnen für deren Infrastruktur keine Erlaubnis erteilen. Unsere Liste der Unterauftragsverarbeiter nennt sie alle einzeln.
  • Meldungen, die nur aus einer Scanner-Ausgabe oder einer Bewertung fehlender Header bestehen, ohne nachgewiesene Auswirkung.
  • Fehlende Härtungsmaßnahmen nach Best Practice ohne Angriffsweg — melden Sie es uns trotzdem, rechnen Sie aber damit, dass wir es als Verbesserung und nicht als Schwachstelle einstufen.
  • Spam, das gewaltsame Eindringen in ein Konto, das Ihnen nicht gehört, oder alles, was die Daten anderer Personen betrifft.

Es gibt keine Bounty

Wir zahlen nicht für Schwachstellenmeldungen. Das sagen wir lieber deutlich, als Sie Stunden in der Erwartung einer Zahlung verbringen zu lassen. Was wir bieten, ist eine schnelle, menschliche Antwort, eine öffentliche Nennung, wenn Sie das möchten, und eine Behebung, die Sie selbst überprüfen können.

Was wir nicht behaupten

Eine Richtlinie zur Offenlegung von Schwachstellen ist keine Zertifizierung. Wir haben kein ISO-27001-Zertifikat, keinen SOC-2-Bericht und keine Bestätigung durch Dritte, und wir schließen keine Business Associate Agreements ab. Das Trust Center legt dar, was wir behaupten und — ebenso wichtig — was nicht: unter anderem, wohin Ihr Audio geht, was Ihr Gerät nie verlässt und welche Dritten beteiligt sind.

Danksagungen

Bisher hat uns niemand eine Schwachstelle gemeldet. Sobald das jemand tut und genannt werden möchte, steht der Name hier.

FAQ

Häufige Fragen

01Zahlen Sie für Schwachstellenmeldungen?
Nein. Es gibt keine Bounty und keine Werbegeschenke. Sie erhalten eine Eingangsbestätigung innerhalb eines Werktags, eine echte Einschätzung, auf Wunsch eine öffentliche Nennung und eine Behebung, die Sie überprüfen können.
02Darf ich veröffentlichen, was ich gefunden habe?
Ja, sobald es behoben ist oder ein angemessenes Zeitfenster verstrichen ist — wir orientieren uns an neunzig Tagen. Wir werden Sie nicht bitten, unbegrenzt zu schweigen, und wenn eine Behebung länger dauert, vereinbaren wir lieber ein Datum mit Ihnen, als die Sache treiben zu lassen.
03Ich habe etwas in der Desktop-App gefunden, nicht auf der Website. Fällt das in den Geltungsbereich?
Ja. Die Windows-Anwendung, das Linux-Snap und die Browser-Erweiterung liegen alle im Geltungsbereich, ebenso die API, mit der sie sprechen. Geben Sie die Versionsnummer an — sie steht in den Einstellungen der App und auf der Changelog-Seite.
04Was ist, wenn das Problem eigentlich im Dienst von Google oder Alibaba liegt?
Melden Sie es uns trotzdem; wir geben es weiter und sagen Ihnen, dass wir das getan haben. Tests auf deren Infrastruktur können wir aber nicht autorisieren, deshalb reicht der oben beschriebene Schutz nicht bis dorthin — nutzen Sie für alles, was Sie dort direkt testen möchten, deren eigene Disclosure-Programme.
05Ist das ein Bug-Bounty-Programm?
Nein. Es ist eine Richtlinie zur Offenlegung von Schwachstellen: eine veröffentlichte Zusage dazu, wie wir mit Meldungen umgehen. Ein Bounty-Programm zahlt für Funde und läuft meist über eine Plattform; beides trifft hier nicht zu.
06Wie melde ich einen Fehler, der nichts mit Sicherheit zu tun hat?
Nutzen Sie „Problem melden“ in der App. Dabei werden ein bereinigtes Protokoll und Diagnosedaten angehängt, und es wird nichts gesendet, wenn die Bereinigung fehlschlägt. Auf diesem Weg kommt ein normaler Fehler viel schneller an die richtige Stelle als per E-Mail.