Sicherheitsrisiken an TechSmith melden
Wenn Sie bei einem Produkt von TechSmith ein Sicherheitsrisiko erkennen, lesen Sie bitte die folgende Richtlinie zur Offenlegung von Schwachstellen und melden Sie das Problem dann über das nachstehende Formular.
Richtlinie zur Offenlegung von Schwachstellen
Unser Ansatz bei der Offenlegung von Schwachstellen
Eine effektive Offenlegung von Schwachstellen erfordert nach Überzeugung von TechSmith gegenseitiges Vertrauen, Achtung, Transparenz und Orientierung am Gemeinwohl auf Seiten von TechSmith und den Sicherheitsspezialisten. Indem wir unsere Wachsamkeit und Expertise zusammenbringen, sorgen wir dafür, dass Sicherheit und Datenschutz für die Kunden, Produkte und Dienste von TechSmith weiter gesichert sind.
Wenn Sie eine Schwachstelle entdecken:
- Schreiben Sie bitte einen ausführlichen Bericht mit einer Schritt-für-Schritt-Anleitung, um das Problem zu reproduzieren.
- Legen Sie das Sicherheitsrisiko nicht öffentlich oder gegenüber Dritten offen, bis es behoben ist.
- Tun Sie nach bestem Wissen und Gewissen Ihr Möglichstes, um den Schutz der personenbezogenen Daten von TechSmith-Kunden nicht zu verletzen. Führen Sie Tests möglichst mit Ihren eigenen Konten durch.
- Zerstören oder verändern Sie keinesfalls TechSmith-Kundendaten, die nicht ihre eigenen sind.
- Räumen Sie nach dem Testen auf. Wenn zur Offenlegung der Schwachstelle schädliche Einträge oder Dateien auf Eigentum von TechSmith hinterlegt wurden, löschen oder verbergen Sie diese bitte, sobald sie nicht mehr benötigt werden, um das Sicherheitsrisiko zu demonstrieren.
Das tun wir:
- Wir prüfen Ihren Bericht so umgehend wie möglich.
- Wenn wir das Problem nicht reproduzieren können, melden wir uns bei Ihnen, um weitere Informationen zu dem Sicherheitsrisiko zu erfragen.
Relevanter Bereich
Web-Entitäten im relevanten Bereich
- https://myaccount.en.tsc-stage.co
- https://library.en.tsc-stage.co
- https://videoreview.en.tsc-stage.co
- https://www.screencast.com
- https://en.tsc-stage.co
Desktop-Produkte im relevanten Bereich
- Snagit [einschließlich des ausgehenden Web-Verkehrs zum Aufruf von Objekten im Besitz von TechSmith]
- Camtasia [einschließlich des ausgehenden Web-Verkehrs zum Aufruf von Objekten im Besitz von TechSmith]
- Audiate [einschließlich des ausgehenden Web-Verkehrs zum Aufruf von Objekten im Besitz von TechSmith]
- TechSmith Capture [einschließlich des ausgehenden Web-Verkehrs zum Aufruf von Objekten im Besitz von TechSmith]
Web-Entitäten außerhalb des relevanten Bereichs
- https://login.en.tsc-stage.co
- https://support.en.tsc-stage.co
- https://.techsmithrelay.com https://.techsmithknowmia.com
- Alle Dienste von Drittanbietern
Wenn Sie ein Sicherheitsrisiko bei einer im Besitz von TechSmith befindlichen Domain oder Subdomain identifizieren, die hier nicht explizit erwähnt wird, können Sie uns diese melden, haben jedoch voraussichtlich keinen Anspruch auf eine Prämie. Wenn Sie nicht sicher sind, ob eine bestimmte Domain oder Subdomain sich im Besitz von TechSmith befindet, rufen Sie bitte den zugehörigen DNS-Eintrag auf, um sich zu informieren. Subdomains von en.tsc-stage.co werden von uns häufig an Drittanbieter weitergeleitet. Beachten Sie, dass einige unserer Dienste sich hinter einer Webanwendungs-Firewall befinden und dies bei einer DNS-Suche angezeigt wird. Die auf diesen Websites betriebenen Anwendungen befinden sich im relevanten Bereich; für die Webanwendungs-Firewall selbst gilt dies jedoch nicht.
Nicht einbezogene Sicherheitsprobleme
Bitte sehen Sie davon ab, die folgenden Probleme zu melden:
- DoS (Denial-of-Service)-Angriffe auf Web-Entitäten
- Mängel, die die Bandbreite einschränken
- Spam
- E-Mail-Spoofing
- Social Engineering (Manipulation von Personen durch Phishing u.ä.)
- Physische Penetrationstests
- Self-XSS-Betrug
- Probleme mit der SSL/TLS-Konfiguration
- X-Frame-Options-Probleme / Clickjacking-Angriffe
- Offene Weiterleitungen ohne nachweisbaren aktiven schädlichen Missbrauch
Safe-Harbor-Klausel:
Bei Schwachstellenrecherchen, die im Einklang mit dieser Richtlinie durchgeführt werden, setzen wir Folgendes voraus:
- Die Recherche ist nach dem US-Gesetz CFAA (Computer Fraud and Abuse Act) bzw. vergleichbaren Gesetzen von US-Bundesstaaten zulässig und wir werden keine rechtlichen Schritte gegen Sie ergreifen oder unterstützen, falls Sie versehentlich und in gutem Glauben gegen die vorliegende Richtlinie verstoßen haben sollten;
- Die Recherche ist von dem US-Gesetz DMCA (Digital Millennium Copyright Act) ausgenommen und wir werden gegen Sie keine Forderungen wegen Umgehung technologischer Kontrollen erheben;
- Einschränkungen in unseren Nutzungsbedingungen, die der Durchführung von Sicherheitsrecherchen im Weg stehen würden, finden in diesem Fall keine Anwendung und wir verzichten für Arbeit, die im Einklang mit der vorliegenden Richtlinie durchgeführt wird, in begrenztem Umfang darauf, diese Einschränkungen geltend zu machen;
- Die Recherche wurde gesetzeskonform, zur Verbesserung der generellen Sicherheit des Internets und nach bestem Wissen und Gewissen durchgeführt.
- Wie in jedem Fall haben Sie sich an alle geltenden Gesetze zu halten.
Wenn Sie zu irgendeinem Zeitpunkt besorgt oder unsicher sind, ob Ihre Sicherheitsrecherche im Einklang mit dieser Richtlinie steht, fragen Sie bitte erst unter support@bugcrowd.com nach, bevor Sie weitere Schritte unternehmen.
