Zum Hauptinhalt springen

Sicherheitsrichtlinie

Kontakt: https://github.com/Cap-go/capgo.app/sicherheit/advisories/neu
Kanonische URL: https://capgo.app/deutschland/sicherheit/
Sicherheit.txt: https://capgo.app/.well-known/security.txt (/sicherheit.txt)

Bei Capgo legen wir die Sicherheit unserer Systeme auf jeden Fall an erste Stelle. Dennoch können, trotz aller Anstrengungen, immer noch Schwachstellen vorhanden sein.

Wenn Sie eine Schwachstelle entdecken, möchten wir davon wissen, damit wir schnellstmöglich Schritte unternehmen können, um sie zu beheben. Wir bitten Sie, uns bei der Verbesserung der Sicherheit unserer Kunden und unserer Systeme zu helfen.

Schwachstellen außerhalb des Geltungsbereichs:

  • Klickjacking auf Seiten ohne sensitive Aktionen.
  • Unauthentifizierte Logout- oder Login-CSRF.
  • Attacks requiring MITM or physical access to a user's device.
  • Angriffe, die soziale Ingenieurskunst erfordern.
  • Jede Aktivität, die zu einer Störung unseres Dienstes (DoS) führen könnte.
  • Inhaltsmanipulation und Texteinbringungsprobleme ohne Anzeige eines Angriffsszenarios/ohne Möglichkeit, HTML/CSS zu ändern.
  • E-Mail-Betrug
  • Unterlassene DNSSEC, CAA, CSP-Kopfzeilen
  • Fehlende Secure- oder HTTP-only-Flag bei nicht-sensiblen Cookies
  • Totale Links
  • Benutzer-Enumeration
  • SSRF- oder DNS-Spoofing-Berichte gegen Webhooks oder Website-Vorschau. Diese Funktionen laufen auf serverlosen Infrastrukturen und können nicht verwendet werden, um private Capgo-Infrastruktur zu erreichen, daher sind sie in unserem Umfeld nicht ausnutzbar.
  • Benutzer-eigene Anwendung code oder Projekt-Konfiguration, die Capgo nicht besitzt, liefert, oder kontrolliert, einschließlich Dateien wie capacitor.config.ts, config.capacitor.ts, Anwendungskomponenten code und Umgebungsabhängige Einstellungen.
  • Zugriff auf Capgo-Bundle-Dateien oder Beweise dafür, dass Bundle-Dateien heruntergeladen werden können. Bundle-Dateien sind öffentliche Web-Assets, die Benutzer darüber informiert werden, und der Zugriff darauf wird nicht als Datenverletzung betrachtet.
  • Unauthentifizierte Capgo-Plugin/API-Endpunkte, die absichtlich öffentlich sind — einschließlich channel_self set und update/stats-Endpunkte, die kein API-Schlüssel erfordern — sind keine Sicherheitslücken. Melden Sie sie nicht als solche.
  • Uploader oder UI, die die Verschlüsselung für Bundle, die über external_url bereitgestellt werden, falsch kennzeichnen, ist keine Capgo-Sicherheitslücke (Verschlüsselung extern gehosteter Bundle ist außerhalb der Capgo-Kontrolle).

bekannte Supabase Auth Limitationen

Einige Befunde werden wiederholt gemeldet und mit Supabase Auth-Verhalten verbunden. Diese werden nur als Supabase-Seitenausfälle behandelt, wenn sie in einem gemeinsamen Supabase-Demo-Projekt, das wie unseres konfiguriert ist, reproduziert werden können und wenn eine Änderung der Supabase-Konfiguration das Verhalten ohne Änderung der Capgo Sicherheitsregeln behebt. Wenn die Behebung eine Änderung der Capgo-besitzenen SQL, RPCs, RLS-Politiken, Funktionen oder Anwendungslogik erfordert, handelt es sich um einen Capgo-Ausfall und sollte an uns gemeldet werden.

  • Die Berichte müssen einen reproduzierbaren Demo-Supabase-Projekt enthalten, mit Schritten, das unsere Einstellungen und das Verhalten nachahmt.
  • Die Berichte müssen die genaue Behebungsroute enthalten: entweder die Supabase-Einstellung/Konfigurationsänderung, die das Verhalten behebt, oder das Capgo-besitzene code-/Konfigurationsobjekt, das geändert werden muss.
  • Konto/E-Mail-Flüsse werden gegen die Supabase-Projekt-Einstellungen (z.B. ob die E-Mail-Verifizierung deaktiviert ist und der Capture-Flow verwendet wird) validiert.
  • Passwörter- und E-Mail/Passwörter-Update-Flüsse können von der aktuellen Supabase-Auth-Sitzung und den Wiederherstellungs-Einstellungen abhängen.
  • Wenn ein Demo-Projekt einen konkreten Supabase-Seitenausfall mit keiner Capgo-Politikänderung beweist oder einen konkreten Capgo-besitzenen Defekt zeigt, wird es als handlungsfähig überprüft.

Testleitfäden:

  • Führen Sie keine automatischen Scanner auf anderen Kundenprojekten aus. Die Durchführung automatischer Scanner kann für unsere Benutzer Kosten verursachen. Aggressiv konfigurierte Scanner können Dienste stören, Schwachstellen ausnutzen, zu Systeminstabilitäten oder Sicherheitsverletzungen führen und die Nutzungsbedingungen unserer Auftragslieferanten verletzen. Unsere eigenen Sicherheitssysteme können keine feindlichen Erkundungen von weißen-Hut-Forschungen unterscheiden. Wenn Sie einen automatischen Scanner ausführen möchten, informieren Sie uns bitte unter security@capgo.app und führen Sie ihn nur auf Ihrem eigenen Capgo-Projekt aus. Attackieren Sie nicht die Projekte anderer Kunden.
  • Nutzen Sie die Entdeckte Schwachstelle oder das Problem nicht aus, indem Sie zum Beispiel mehr Daten als notwendig herunterladen, um die Schwachstelle zu demonstrieren, oder das Daten oder die Daten anderer Personen löschen oder ändern.

Berichterstattungsrichtlinien:

  • Melden Sie Ihre Ergebnisse über unser GitHub Sicherheitsbericht:: https://github.com/Cap-go/capgo.app/sicherheit/advisories/neu
  • Bieten Sie bitte ausreichend Informationen an, um das Problem zu reproduzieren, damit wir es so schnell wie möglich lösen können.
  • Wir akzeptieren und überprüfen Sicherheitsberichte für Capgo-Plugins, aber bezahlte Bounties für code-Plugins sind auf @capgo/capacitor-Updater beschränkt. Andere Capgo-Plugins sind kostenlos und gehören nicht zu unserem bezahlten Produktangebot, daher werden Berichte für sie geprüft, aber unbezahlt.

Offenlegungsrichtlinien:

  • Um unsere Kunden zu schützen, sollten Sie das Problem nicht vorher mit anderen teilen, bis wir es erforscht, abgeklärt und unseren betroffenen Kunden informiert haben.
  • Wenn Sie Ihre Forschungsergebnisse über Capgo an einer Konferenz, in einem Blog oder einem anderen öffentlichen Forum öffentlich teilen möchten, sollten Sie uns einen Entwurf mindestens 30 Tage vor der Veröffentlichungsdatum zukommen lassen, damit wir ihn überprüfen und genehmigen können. Bitte beachten Sie, dass folgende Informationen nicht enthalten sein sollten:
    • Daten zu Kundenprojekten von Capgo
    • Capgo-Kunden-Daten
    • Informationen über Capgo-Mitarbeiter, -Dienstleister oder -Partner

Was wir versprechen:

  • Wir werden innerhalb von 7 Geschäftstagen auf Ihre Meldung reagieren und unsere Bewertung sowie eine erwartete Lösungsdate zukommen lassen.
  • Wenn Sie die oben genannten Anweisungen befolgt haben, werden wir keine rechtlichen Schritte gegen Sie in Bezug auf die Meldung einleiten.
  • Wir werden Ihre Meldung streng vertraulich behandeln und Ihre persönlichen Daten ohne Ihre Zustimmung nicht an Dritte weitergeben.
  • Wir werden Sie über den Fortschritt bei der Lösung des Problems informieren.
  • In der öffentlichen Information über das Problem, das gemeldet wurde, werden wir Ihren Namen als Entdecker des Problems nennen (sofern Sie nicht anders wünschen).
  • Wenn sich gelöste Daten in den mit uns geteilten Protokollen befinden, behandeln wir sie als Debugging-Informationen, um das Problem zu beheben, und nicht als Grund für Rache oder Vergeltung.

Wir streben danach, alle Probleme so schnell wie möglich zu lösen und möchten einen aktiven Beitrag zur endgültigen Veröffentlichung des Problems leisten, nachdem es gelöst ist.