Ein Sicherheitsproblem melden

Schreib eine E-Mail an security@jellysuite.com. Bitte mach ein Sicherheitsproblem nicht zuerst öffentlich. Erzähl uns:

• was du gefunden hast und wo (eine Seite, ein Endpoint, ein Screen),
• wie man es nachstellt, mit einem Proof of Concept, wenn du einen hast,
• was ein Angreifer dadurch gewinnt und was er vorher schon haben muss (ein Konto, eine Freigabe, Kontrolle über den Server).

Innerhalb von drei Werktagen bestätigen wir, dass deine Meldung angekommen ist, und innerhalb von zehn sagen wir dir, wie wir sie einschätzen und wie es weitergeht. Wir halten dich auf dem Laufenden, bis es behoben ist, und nennen dich in den Release Notes, wenn du das möchtest. Eine bezahlte Bug-Bounty gibt es noch nicht.

Das Versprechen hinter dem Design: Unsere Server sehen nie Inhalte, Titel, Passwörter oder Schlüssel im Klartext. Am wertvollsten sind Meldungen, die dieses Versprechen brechen oder die Regeln fürs Teilen drumherum:

• alles, womit der Server oder jemand im Netzwerk Inhalte lesen oder ändern kann, ohne dass es auffällt,
• ein Schlüssel, der für die falsche Person akzeptiert, versiegelt oder als vertrauenswürdig behandelt wird,
• Zugriff, der einen Widerruf überlebt,
• eine Kontoübernahme, oder ein Weg an der Anmeldung, der Wiederherstellung oder dem Passwort eines Links vorbei,
• Script-Injection in der Web- oder Desktop-App, oder ein Weg um die Content Security Policy herum,
• Mails, die sich als jemand anderes ausgeben oder verraten, was verschlüsselt hätte bleiben sollen.

Weniger dringend, aber trotzdem willkommen: Denial of Service, fehlende Rate Limits und Probleme, für die ein Gerät schon kompromittiert sein muss.

Die Grenzen, die wir kennen, schreiben wir auf, statt sie zu verstecken. Bevor du etwas meldest, lies auf der Transparenzseite, was unsere Server sehen können, und wie die Verschlüsselung gebaut ist. Ein neuer Weg zu einer bekannten Grenze ist trotzdem eine Meldung wert.

• Teste mit deinen eigenen Konten oder deiner eigenen Kopie von jellysuite.
• Lies, ändere oder lösche keine Daten anderer Leute, und beeinträchtige den gehosteten Dienst nicht.
• Gib uns eine angemessene Zeit, ein Problem zu beheben, bevor du es veröffentlichst. Den Termin stimmen wir mit dir ab.

Hältst du dich in gutem Glauben an diese Regeln, gehen wir wegen deiner Forschung nicht rechtlich gegen dich vor.