Güvenlik ve Zafiyet Bildirimi

eSeGeCe bileşen kitaplıkları üretimde çalışan uygulamaların içine gömülüdür ve bunların çoğu doğrudan internete açıktır. Güvenlik kusurlarına ilişkin bildirimleri ciddiye alıyoruz ve bir sorunu sonradan başka bir yerde okumaktansa erkenden öğrenmeyi tercih ediyoruz. Bu sayfa bize nasıl ulaşacağınızı, yazdıktan sonra ne olacağını ve karşılığında neyi taahhüt ettiğimizi anlatır.

Bir zafiyeti bildirmek

İletişim formumuzu kullanın ve konuya "güvenlik" yazın. Birinci kademe bir destek kuyruğuna değil, doğrudan geliştiricilere ulaşır ve güvenlik konularındaki tek iletişim noktamızdır. Bir zafiyeti bildirmek için destek sözleşmesine ya da geçerli bir lisansa ihtiyacınız yoktur.

Lütfen aşağıdakilerden elinizde olanları mümkün olduğunca ekleyin:

• Ürün, sürüm türü ve sürüm numarası. Örneğin sgcWebSockets 2026.8.0 Enterprise, kaynaktan derliyorsanız tam revizyon numarası.
• Etkilenen bileşen. HTTP/2 sunucusu ya da MQTT istemcisi gibi, ilgili birim, sınıf veya protokol.
• Ortam. Delphi veya C++ Builder sürümü, hedef platform ve sorun taşıma katmanıyla ilgiliyse kullanılan TLS altyapısı.
• Yeniden üretme. Asgari bir proje, bir paket kaydı ya da adım dizisi. Örnek ne kadar küçükse düzeltme o kadar hızlı olur.
• Etki. Saldırganın ne elde ettiği ve kimlik doğrulama veya belirli bir yapılandırma gerekip gerekmediği.

Bildiriminizi şifrelemek isterseniz, teknik ayrıntı içermeyen ilk bir iletide bunu belirtin, sizinle bir kanal üzerinde anlaşalım.

Bir bildirim geldiğinde ne yapıyoruz

• 5 iş günü içinde alındı bildirimi. Bildirimin ulaştığını doğrulayan ve kimin ilgilendiğini belirten, bir insan tarafından yazılmış yanıt alırsınız.
• 10 iş günü içinde değerlendirme. Bulguyu doğrular ya da eleriz, önem derecesine ilişkin değerlendirmemizi ve beklenen takvimi paylaşırız.
• Düzeltme. Kritik ve yüksek önem derecesindeki kusurlar özel bir sürümde ele alınır. Daha düşük önemdeki bulgular bir sonraki olağan sürüme planlanır.
• Duyuru. Düzeltme, ürünle birlikte gelen sürüm notlarında anlatılır ve bu sitedeki değişiklik günlüğünde yayımlanır.
• Teşekkür. Bildirimi yapan kişi adının anılmasını isterse duyuruda anarız, istemezse kimliği hakkında sessiz kalırız.

Koordineli açıklama

Yayımlamadan önce bir düzeltme çıkarmamız için bize makul bir süre tanımanızı rica ediyoruz, çalıştığımız süre bildiriminizin tarihinden itibaren 90 gündür. Bir kusur etkin biçimde sömürülüyorsa ya da düzeltme beklenenden uzun sürecekse, sürenin sessizce dolmasına izin vermek yerine zamanlamayı sizinle konuşuruz. İyi niyetle zafiyet bildiren ve bu politikaya uyan hiç kimseye karşı hukuki yola başvurmayız.

Kapsam

Kapsam içinde sgcWebSockets, sgcSign, sgcOpenAPI, sgcIndy ve sgcBiometrics dahil olmak üzere desteklenen tüm sürüm türlerindeki eSeGeCe bileşen kitaplıkları, dağıttığımız örnek ve tanıtım kodları ile bu web sitesi yer alır.

Kapsam dışında ise yalnızca dağıtmadığımız üçüncü taraf yazılımları etkileyen bulgular, gösterilmiş bir etkisi olmayan otomatik tarayıcı çıktıları ve altyapımıza veya başka bir müşteriye saldırmayı gerektiren her şey bulunur. Lütfen hizmet dışı bırakma testleri yapmayın, sunucularımıza kaba kuvvet uygulamayın ve size ait olmayan verilere erişmeyin.

Kullandığımız bir bileşendeki zafiyeti bildirmek

Bulgunuz Indy, zlib veya OpenSSL gibi üzerine inşa ettiğimiz bir üçüncü taraf bileşenindeyse yine de bize bildirin. AB Siber Dayanıklılık Yasası'nın 13(6). maddesinin bizden istediği üzere bildirimi ilgili bakım ekibine iletir ve düzeltmeyi kendi sürümlerimize girene kadar izleriz.

Güvenlik güncellemeleri ve destek süresi

Güvenlik düzeltmeleri, yılda birkaç kez tam kaynak koduyla yayımlanan olağan ürün sürümlerinin bir parçası olarak gelir. Bir lisans, abonelik süresi boyunca güncellemeleri içerir ve belirli bir ana sürüme ait güvenlik düzeltmeleri, o sürümün yayımlanmasından itibaren en az beş yıl boyunca kullanılabilir kalır. Her lisans tam kaynak kodu içerdiğinden, dağıttığınız kodu incelemek, yamalamak veya yeniden derlemek için hiçbir zaman bize bağımlı olmazsınız.

Yazılım Malzeme Listesi (SBOM)

Her sürüm için, ürünlerimizin üzerine kurulduğu üst düzey bileşenleri ve lisanslarını listeleyen, makine tarafından okunabilir bir SBOM belgesini CycloneDX biçiminde tutuyoruz. Siber Dayanıklılık Yasası üreticilerden bunu hazırlamalarını ve teknik dosyada saklamalarını ister, yayımlamalarını istemez. Bu nedenle burada yayımlamak yerine talep üzerine sunuyoruz. Lisans sahipleri ve piyasa gözetim otoriteleri, ilgili ürün, sürüm türü ve sürüm numarasını belirterek iletişim formumuzdan talep edebilir.

Mevzuat bağlamı

Bizi AB Siber Dayanıklılık Yasası, (AB) 2024/2847 sayılı Tüzük kapsamında bir tedarikçi olarak değerlendiriyorsanız, CRA'nın eSeGeCe bileşenleriyle geliştirilen ürünler için ne anlama geldiğine dair açıklamamız ayrı bir sayfadadır.

• Siber Dayanıklılık Yasası ve eSeGeCe bileşenleri

İletişim

Zafiyet bildirimleri dahil bu sayfadaki her konu bize iletişim formumuz üzerinden ulaşır.