Schwachstelle melden
Sie haben eine Sicherheitslücke im E-Rechnung Prüfer gefunden? Danke, dass Sie sie melden. Bitte nicht als öffentliches Issue – nutzen Sie einen dieser Wege:
| Weg | Adresse | Hinweise |
|---|---|---|
| Vertrauliche Meldung über GitHub (empfohlen) | https://github.com/SerhiiAkhnazarov/e-rechnung-pruefer/security/advisories/new | „Report a vulnerability“; nur für den Hersteller sichtbar, Übertragung verschlüsselt; GitHub-Konto nötig |
| ahnazarovser@gmail.com | Betreff „Schwachstelle E-Rechnung Prüfer“; OpenPGP ist derzeit nicht möglich – vertrauliche Einzelheiten bitte über GitHub oder nach Absprache | |
| Anonym | E-Mail von einer beliebigen Adresse | anonyme Meldungen können nur eingeschränkt oder gar nicht bearbeitet werden, weil keine Rückfragen möglich sind |
Sprachen: Deutsch oder Englisch.
Was in die Meldung gehört
- die betroffene Version (Fußzeile der Seite oder
BUILD_INFO.json) und, wenn bekannt, die SHA-256-Prüfsumme der Datei, - Browser und Betriebssystem,
- eine möglichst kleine Datei, die das Verhalten auslöst, und die Schritte dorthin,
- die erwartete und die beobachtete Wirkung,
- eine E-Mail-Adresse oder Telefonnummer für Rückfragen.
Rechnungen mit echten Daten bitte vorher schwärzen.
Was danach geschieht
- Eingangsbestätigung durch einen Menschen innerhalb von 5 Arbeitstagen,
- ausführliche Rückmeldung innerhalb von 10 Arbeitstagen (bestätigt oder abgelehnt, Rückfragen oder ein neuer Termin),
- Korrektur ohne unangemessene Verzögerung, Veröffentlichung der behobenen Schwachstelle spätestens nach 90 Tagen,
- auf Wunsch Nennung in den Danksagungen: https://serhiiakhnazarov.github.io/e-rechnung-pruefer/security-acknowledgements/.
Wir verlangen keine Geheimhaltungsvereinbarung und leiten gegen Personen, die nach unserer Richtlinie handeln, keine rechtlichen Schritte ein. Alle Einzelheiten: Richtlinie zur koordinierten Offenlegung – https://serhiiakhnazarov.github.io/e-rechnung-pruefer/cvd-policy/ (SECURITY.md im Repository).
Datenschutz
Ihre Angaben verwenden wir nur zur Bearbeitung der Meldung und geben sie ohne Ihre Zustimmung nicht weiter. E-Mails werden über Google (Gmail) zugestellt, Meldungen über GitHub von GitHub verarbeitet. Einzelheiten: https://serhiiakhnazarov.github.io/e-rechnung-pruefer/datenschutz/.
Kontakt
Hersteller: Serhii Akhnazarov, Wien, Österreich – ahnazarovser@gmail.com. Nationales CSIRT Österreichs (Koordinator für die koordinierte Offenlegung von Schwachstellen): CERT.at, https://www.cert.at/.
English: Report security vulnerabilities privately via https://github.com/SerhiiAkhnazarov/e-rechnung-pruefer/security/advisories/new or by e-mail to ahnazarovser@gmail.com (anonymous reports: from any address; they can only be processed to a limited extent). Please include the version, browser, a minimal file and the steps to reproduce. We reply within 5 working days and give detailed feedback within 10 working days. Policy: https://serhiiakhnazarov.github.io/e-rechnung-pruefer/cvd-policy/.