Politica di segnalazione delle vulnerabilità

1. L'impegno di Yarbo

• Rispondere tempestivamente alla segnalazione;
• Condurre un'indagine tecnica completa e approfondita;
• Sviluppare, testare e rilasciare correzioni di sicurezza;
• Mantenere una comunicazione trasparente durante l'intero processo di risoluzione;
• Rispettare le regole di divulgazione coordinata e i contributi dei ricercatori.

2. Ambito di ricerca autorizzato (attività consentite)

• Domini e servizi cloud: tutti i siti web ufficiali globali e regionali, le piattaforme cloud, le interfacce di servizio e altri endpoint aziendali gestiti ufficialmente nell'ecosistema di domini Yarbo, inclusi tutti i sottodomini e gli endpoint di servizio appartenenti al dominio *.yarbo.com.
• Applicazioni ufficiali: applicazioni mobili Yarbo per iOS e Android, portali web ufficiali e sistemi di gestione backend sviluppati internamente e attualmente in fase di manutenzione.
• Prodotti hardware: tutti i dispositivi hardware intelligenti Yarbo rilasciati ufficialmente e ancora coperti dal ciclo di manutenzione della sicurezza, inclusi robot tosaerba intelligenti, robot spazzaneve, soffiatori per foglie e dispositivi intelligenti da esterno correlati, incluso il firmware dei dispositivi, i sistemi integrati e i protocolli di comunicazione da dispositivo a cloud.
• API pubbliche: interfacce di programmazione delle applicazioni (API) accessibili al pubblico a supporto dei prodotti e delle piattaforme ufficiali Yarbo.

3. Ambito di ricerca non autorizzato (attività non consentite)

• Piattaforme di terze parti, SDK di terze parti, componenti open source e sistemi non Yarbo;
• Prodotti e servizi non più commercializzati, fuori produzione o giunti alla fine del ciclo di vita e non più oggetto di manutenzione ufficiale;
• Social engineering, phishing, pretexting o test di intrusione fisica;
• Smontaggio fisico, manomissione dell’hardware, probing dei chip o test distruttivi sui componenti fisici;
• Attacchi distribuiti di tipo denial-of-service (DDoS), traffico eccessivo, attacchi di forza bruta o qualsiasi test che causi instabilità del servizio, degrado delle prestazioni o interruzione del servizio;
• Segnalazioni duplicate, vulnerabilità già note pubblicamente e problemi causati da un utilizzo improprio da parte dell'utente;
• Vulnerabilità prive di passaggi riproducibili, prive di un impatto effettivo o che non comportano rischi per la sicurezza.

4. Tutele previste dal principio di "Safe Harbor"

• Agiscano in buona fede e al solo scopo di segnalare rischi di sicurezza a Yarbo;
• Non accedano, non modifichino, non memorizzino né sottraggano dati personali degli utenti, informazioni sensibili o dati riservati di Yarbo oltre quanto strettamente necessario per la verifica della vulnerabilità;
• Non compromettano la disponibilità del sistema, non danneggino i dispositivi, non compromettano la sicurezza pubblica né ledano gli interessi degli utenti;
• Non divulghino dettagli relativi a vulnerabilità non ancora corrette senza un'approvazione ufficiale scritta;
• Collaborino con il team di sicurezza di Yarbo durante le indagini e le operazioni di risoluzione.

5. Modalità di segnalazione delle vulnerabilità

• Una descrizione chiara e dettagliata della vulnerabilità e del potenziale impatto sulla sicurezza;
• Istruzioni complete e dettagliate per la riproduzione del problema;
• Una prova di concetto (PoC) non distruttiva che non causi perdita di dati, interruzione del servizio o danni al dispositivo;
• Informazioni dettagliate sulle risorse interessate, inclusi URL, endpoint API, versione dell'app, modello del dispositivo e versione del firmware;
• Prove di supporto quali screenshot, log o registrazioni dello schermo;
• Il nome che si desidera venga citato pubblicamente (facoltativo).

6. Principio di "Safe Harbor" per terze parti

• Qualora i ricercatori segnalino una vulnerabilità valida che interessa un servizio di terze parti integrato con i prodotti e l'infrastruttura di Yarbo, Yarbo controllerà rigorosamente la divulgazione e la condivisione del contenuto della segnalazione con la terza parte interessata. Yarbo potrebbe condividere con la terza parte interessata informazioni non identificative estratte dalla segnalazione di vulnerabilità presentata dai ricercatori, al fine di agevolare la risoluzione della vulnerabilità stessa, ma solo dopo aver formalmente informato i ricercatori dell'intenzione di procedere in tal senso e aver ottenuto dalla terza parte un impegno scritto a non avviare procedimenti legali né contatterà le autorità competenti nei confronti dei ricercatori sulla base della segnalazione presentata. Yarbo non condividerà in alcuna circostanza le informazioni di identificazione personale dei ricercatori con alcuna terza parte interessata senza l'esplicita approvazione scritta dei ricercatori stessi.
• Si precisa che la presente Politica non autorizza alcun test di sicurezza su sistemi e servizi di terze parti che esulano dall'ambito di applicazione. Qualsiasi test svolto su piattaforme di terze parti indipendenti non è coperto dalle tutele della presente Politica. Prima di condurre qualsiasi ricerca sulla sicurezza relativa a servizi di terze parti, è necessario consultare la politica ufficiale di segnalazione delle vulnerabilità della terza parte (se disponibile) oppure contattare la terza parte direttamente o tramite un rappresentante legale per ottenere un’autorizzazione legittima. Nessuna disposizione della presente Politica deve essere interpretata come un impegno da parte di Yarbo a difendere, indennizzare o proteggere i ricercatori da eventuali reclami, controversie o azioni legali intentate da terze parti a seguito delle attività di ricerca svolte sulla sicurezza.
• Qualora una terza parte o le autorità competenti avviino un’azione legale nei confronti dei ricercatori esclusivamente a causa delle attività di ricerca sulla sicurezza e della segnalazione di vulnerabilità effettuate in conformità con la presente Politica, e i ricercatori abbiano agito integralmente in buona fede e nel pieno rispetto di tutti i termini qui contenuti (senza violazioni intenzionali o dolose), Yarbo adotterà misure ragionevoli per verificare e confermare che tali attività siano state svolte in conformità alle proprie regole ufficiali per la segnalazione delle vulnerabilità. Tutte le segnalazioni di vulnerabilità valide inviate dai ricercatori sono trattate da Yarbo come documenti riservati e potenzialmente coperti da segreto professionale; Yarbo si opporrà alla divulgazione coattiva di tali informazioni nella misura massima consentita dalla legge applicabile. Tuttavia, i ricercatori riconoscono che un tribunale competente può emettere un ordine di divulgazione obbligatoria nonostante l'opposizione di Yarbo.

7. Aggiornamenti alla politica

8. Contatti