Bezpieczeństwo Produktu

Zakres. Wszystkie produkty Segway-Ninebot z elementami cyfrowymi wprowadzone na rynek, w tym oprogramowanie wbudowane, aplikacje mobilne oraz rozwiązania zdalnego przetwarzania danych związane z tymi produktami. Produkty Segway-Ninebot z elementami cyfrowymi obejmują: elektryczne hulajnogi, pojazdy samobalansujące, rowery elektryczne (eBike), robotyczne kosiarki Navimow oraz ich oprogramowanie i aplikacje mobilne.

Zgłoś podatność
Prosimy o korzystanie z poniższych kanałów w celu zgłaszania podejrzanych podatności bezpieczeństwa w naszych produktach, aplikacjach lub powiązanych usługach.

• Adres e-mail ds. bezpieczeństwa: product-security@ninebot.com
• Zgłoszenia anonimowe: Akceptujemy anonimowe zgłoszenia. Jednakże podanie danych kontaktowych ułatwia nam weryfikację problemu i koordynację działań naprawczych.
• Publiczny klucz PGP: Pobierz

Prosimy zgłaszać podatności bezpieczeństwa przede wszystkim za pośrednictwem adresu e-mail. Jeśli e-mail nie jest wygodny, można również zgłosić problem za pośrednictwem kanałów obsługi klienta w swoim kraju lub regionie; zgłoszenie zostanie przekierowane do naszego Zespołu Reagowania na Incydenty Bezpieczeństwa Produktów (PSIRT).

Jak przetwarzamy zgłoszenia
Po otrzymaniu zgłoszenia analizujemy dostarczone informacje, aby określić, czy zawierają one wystarczające szczegóły do oceny, weryfikujemy, czy zgłoszenie dotyczy rzeczywistej podatności bezpieczeństwa, oceniamy jej stopień zagrożenia i potencjalny wpływ, identyfikujemy dotknięte produkty lub wersje oraz podejmujemy odpowiednie działania naprawcze.

Jak zgłaszać. Wyślij e-mail na adres product-security@ninebot.com, podając nazwę produktu i wersję oprogramowania, opis podatności oraz kroki umożliwiające jej odtworzenie, a także — jeśli to możliwe — informację, czy jest ona publicznie znana lub aktywnie wykorzystywana. Akceptujemy zgłoszenia anonimowe. W przypadku szczegółowych informacji (kod exploitów, dane klientów, klucze, dane konfiguracyjne) zalecamy ich zaszyfrowanie naszym publicznym kluczem PGP; jeśli to możliwe, prosimy również o dołączenie własnego klucza PGP, abyśmy mogli bezpiecznie udostępniać Ci wrażliwe informacje.

Co zawrzeć w swoim raporcie

Aby pomóc nam ocenić i odtworzyć problem, prosimy o uwzględnienie możliwie jak największej ilości poniższych informacji:

• Nazwa i model produktu
• Dotknięta wersja oprogramowania, firmware'u lub aplikacji
• Szczegółowy opis podatności
• Instrukcje krok po kroku dotyczące odtworzenia problemu
• Oczekiwane i rzeczywiste zachowanie
• Potencjalny wpływ
• Kod proof-of-concept, zrzuty ekranu, logi lub ślady sieciowe, jeśli są dostępne
• Twoje imię i dane kontaktowe (opcjonalne dla anonimowych zgłoszeń)
• Jeśli wiadomo - czy podatność jest publiczna lub aktywnie wykorzystywana

Co możesz oczekiwać. Będziemy w kontakcie z Tobą przez cały proces: potwierdzimy otrzymanie Twojego zgłoszenia w ciągu 3 dni roboczych, przedstawimy wstępną ocenę w ciągu 10 dni roboczych i poinformujemy Cię, kiedy podatność zostanie naprawiona, złagodzona lub inaczej rozwiązana. Możemy również przekazywać dodatkowe informacje, jeśli będzie to stosowne, w tym w przypadku zmian w planie działania naprawczego, modyfikacji harmonogramu ujawnienia lub opóźnień wynikających z koordynacji z odpowiednimi stronami trzecimi. Podatności są naprawiane bez zbędnych opóźnień; aktualizacje bezpieczeństwa są dostarczane bezpłatnie.

Skoordynowane ujawnienie i okres embargo
Potwierdzone podatności mogą być obsługiwane w ramach procesu skoordynowanego ujawnienia, szczególnie gdy poprawka nie jest jeszcze dostępna, gdy naprawa wymaga koordynacji pomiędzy wieloma dotkniętymi produktami lub stronami albo gdy zaangażowane są komponenty dostarczane przez strony trzecie, open-source lub dostawców. O ile nie ustalono inaczej, domyślny okres embargo wynosi 90 dni roboczych od potwierdzenia podatności. Okres ten może być dostosowany indywidualnie, w zależności od złożoności naprawy, koordynacji w łańcuchu dostaw i związanych z tym ryzyk bezpieczeństwa. W trakcie okresu embargo szczegóły podatności nie powinny być ujawniane publicznie przed naprawą lub dostępnością doradztwa. Po naprawie możemy opublikować odpowiednie informacje w naszych doradztwach bezpieczeństwa, a w stosownych przypadkach także udostępnić informacje o podatności w Bazie Danych Podatności UE (EUVD).

Badania w dobrej wierze. Badania prowadzone w dobrej wierze w ramach tej polityki są autoryzowane: nie uzyskuj dostępu do danych innych osób, nie obniżaj dostępności ani bezpieczeństwa produktów w użyciu, przestrzegaj obowiązującego prawa. Segway-Ninebot nie podejmie działań prawnych przeciwko badaniom prowadzonym zgodnie z tą polityką.

Uznanie i podziękowanie.
Za Twoją zgodą uznamy Twój wkład w naszym doradztwie bezpieczeństwa lub na stronie z podziękowaniami.