Politica di Coordinated Vulnerability Disclosure

Optimo IoT apprezza il lavoro dei ricercatori di sicurezza indipendenti che ci aiutano a mantenere sicuri il gateway AL300 e la piattaforma cloud Optimo IoT. Questa politica descrive come segnalarci una sospetta vulnerabilità di sicurezza, cosa potete aspettarvi da noi in cambio, e le regole secondo cui autorizziamo attività di ricerca sulla sicurezza condotte in buona fede.

Ambito

Nell'ambito

gateway AL300 (AssetLinker300): firmware, hardware, interfaccia web locale e API locali
piattaforma cloud Optimo IoT, incluso cloud.optimoiot.it, la relativa dashboard web e le API pubbliche (API HTTP, server MCP)
il meccanismo di aggiornamento firmware OTA e i pacchetti di aggiornamento distribuiti da Optimo IoT
il servizio VPN di accesso remoto fornito tramite la piattaforma

Fuori ambito

dispositivi di campo di terze parti collegati a valle del gateway (PLC, sensori, contatori, ecc.) non prodotti da Optimo IoT
la rete, l'infrastruttura IT o i locali fisici del cliente
vulnerabilità che richiedono il possesso fisico del dispositivo di uno specifico cliente, o che richiedono credenziali già note a un attaccante (ad es. per negligenza del cliente stesso), a meno che la segnalazione non dimostri un modo per ottenere tali credenziali o quell'accesso senza autorizzazione
test di denial-of-service (DoS/DDoS), test di carico/stress, o qualsiasi azione che possa degradare il servizio per altri utenti
ingegneria sociale, phishing o attacchi fisici contro il personale, i collaboratori o i clienti di Optimo IoT
scansioni automatiche di vulnerabilità su sistemi di produzione effettuate senza previo accordo scritto con security@optimoiot.it
segnalazioni basate unicamente su raccomandazioni di best practice, header di sicurezza mancanti, o divulgazione della versione del software senza un impatto concreto dimostrato
problemi già a noi noti o già divulgati pubblicamente al momento della segnalazione

In caso di dubbio sull'appartenenza all'ambito, segnalate comunque il problema: preferiamo valutare una segnalazione borderline piuttosto che perdere un problema reale.

Come segnalare

Inviare una segnalazione a security@optimoiot.it.

Per aiutarci a valutare e riprodurre rapidamente il problema, includere:

il prodotto/componente interessato (ad es. "interfaccia web locale AL300", "API HTTP di Optimo IoT Cloud") e, se noto, la versione del firmware o della piattaforma
una descrizione della vulnerabilità e del suo potenziale impatto
istruzioni passo-passo per riprodurla, inclusi eventuali proof-of-concept, esempi di richieste/risposte o screenshot
se si ritiene che la vulnerabilità sia già sfruttata attivamente o sia già stata divulgata altrove
come si desidera essere accreditati (o la preferenza a rimanere anonimi)
i propri contatti per eventuali domande di follow-up

Le segnalazioni possono essere inviate in italiano o in inglese.

Cosa potete aspettarvi da noi

Fase	Tempistica obiettivo
Conferma di ricezione	entro 3 giorni lavorativi
Analisi e validazione iniziale	entro 10 giorni lavorativi dalla conferma
Aggiornamenti di stato mentre il problema è aperto	almeno ogni 15 giorni di calendario
Notifica una volta disponibile una correzione o mitigazione	non appena rilasciata

Una volta validata, valutiamo la gravità utilizzando CVSS e puntiamo alle seguenti tempistiche di risoluzione, a partire dalla validazione:

Gravità	Tempistica di risoluzione obiettivo
Critica	30 giorni
Alta	60 giorni
Media	90 giorni
Bassa	120 giorni, o alla successiva release pianificata

Si tratta di obiettivi interni, non di garanzie; problemi complessi (ad es. che richiedono una revisione hardware) potrebbero richiedere più tempo, nel qual caso ne spiegheremo il motivo e vi terremo aggiornati.

Divulgazione coordinata

Chiediamo di mantenere riservata qualsiasi vulnerabilità segnalata, e di non divulgarla pubblicamente o a terzi, fino a quando:

confermiamo che una correzione o mitigazione è stata resa disponibile agli utenti interessati, e
sono trascorsi 90 giorni dalla segnalazione iniziale,

a seconda di quale condizione si verifichi per prima, salvo diverso accordo scritto tra le parti su una data di divulgazione differente. Se una vulnerabilità viene sfruttata attivamente, potremmo dover richiedere una divulgazione pubblica anticipata (ad es. un avviso di sicurezza) prima che sia disponibile una correzione completa, insieme a indicazioni di mitigazione temporanea.

Safe harbor

Optimo IoT non intraprenderà azioni legali contro, né segnalerà alle forze dell'ordine, i ricercatori che:

si adoperano in buona fede per rispettare questa politica
interagiscono solo con account, dispositivi e dati di cui sono proprietari o per i quali sono espressamente autorizzati ai test
non accedono, modificano o estraggono dati appartenenti ad altri clienti oltre a quanto strettamente necessario per dimostrare la vulnerabilità, ed eliminano/segnalano immediatamente tali dati
non interrompono i sistemi di produzione né degradano la disponibilità del servizio per altri
ci segnalano la vulnerabilità tempestivamente, dandoci una ragionevole opportunità di indagare e porre rimedio prima di qualsiasi divulgazione pubblica, come descritto sopra

Questa autorizzazione non si estende a sistemi, prodotti o infrastrutture di terze parti non di proprietà di Optimo IoT, anche se raggiungibili tramite i nostri prodotti; tali segnalazioni devono essere indirizzate direttamente alla terza parte competente.

Riconoscimento

Con il vostro consenso, vi accrediteremo per nome (o pseudonimo) nelle note di rilascio o nell'avviso di sicurezza associato alla correzione.

Modifiche a questa politica

Questa politica può essere aggiornata periodicamente; la versione pubblicata in questa pagina si applica alle segnalazioni inviate successivamente alla data dell'ultima modifica.