Nell’eventualità in cui un cliente, un ricercatore o un esperto rilevasse una o più vulnerabilità riguardanti i seguenti ambiti:
- Portali TIM (ad es. www.tim.it, www.gruppotim.it, etc.)
- Applicazioni mobili a marchio TIM e pubblicate sugli store ufficiali (ad es. TIM Music, My TIM Fisso, TIM Telefono)
- Dispositivi a marchio TIM (ad es. decoder TIM Vision, modem-router ADSL con l'esclusione dei cellulari)
- Apparati della rete TIM fissa e mobile (ad es. router, bilanciatori)
può segnalarle a TIM secondo la procedura descritta di seguito.
Utilizzando la procedura di Responsible Disclosure, chi segnala la vulnerabilità del sistema si impegna, nei confronti di TIM, ad effettuare una divulgazione responsabile così da non esporre altri clienti a rischi di sicurezza non necessari.
Il segnalante deve tuttavia astenersi da qualsiasi attività che potrebbe comportare disservizi o perdita di dati relativamente ai sistemi e servizi coinvolti nella segnalazione, limitandone l’uso al minimo necessario e astenendosi dall’accedere a dati non strettamente necessari a dimostrare la vulnerabilità e comunque nel rispetto di quanto previsto dalla policy in oggetto. Non è ammesso l’uso di tool di scansione intensivi o invasivi.
La Responsible Disclosure implica inoltre che il segnalante non abbia spiato o divulgato dati di terze parti senza il loro consenso.
In particolare chi avvia la procedura deve:
Inviare la segnalazione all’indirizzo email responsible-disclosure@telecomitalia.it con le seguenti informazioni:
- Propri dati identificativi (nome, cognome ed eventuale organizzazione per cui lavora)
- Il tipo di vulnerabilità rilevata
- Il servizio/apparato/applicazione impattato dalla falla
- La descrizione dettagliata della problematica (al fine di poterla riprodurre)
- L'indirizzo IP da cui è stata scoperta la vulnerabilità e la data/ora di rilevamento
- Un archivio/zip di tutti i file che possono aiutare a riprodurre la problematica (es. immagini, file di testo con descrizione di dettaglio, PoC, codice sorgente, script, file pcap, log, indirizzi IP sorgenti utilizzati, …). Le dimensioni massime dell’archivio non possono superare i 10MB. Se si protegge l’archivio con una password, occorre fornirla nel testo della mail.
- Il consenso o meno a comunicare i propri dati all’eventuale produttore della tecnologia coinvolta dalla segnalazione, per una possibile interazione diretta.
- La disponibilità ad essere inseriti nella sezione Hall of Fame della Responsible Disclosure di TIM , in cui gli autori delle segnalazioni vengono menzionati e ringraziati pubblicamente per i contributi forniti. Specificare un contatto personale da aggiungere al Nome e Cognome, se si desidera.
- Chi avvia la procedura di Responsible Disclosure può cifrare la mail usando la seguente chiave pubblica:
PGP key: 0x68DEAD71
Fingerprint:
0184D9E3E0CACB6F6E9A813BDE90CF9768DEAD71
Mantenere strettamente riservate e segrete le vulnerabilità scoperte, impegnandosi a non rivelarle o altrimenti renderle disponibili a terzi, per un periodo comunque non inferiore a 90 giorni, per consentire a TIM di individuare ed applicare le opportune contromisure. In caso di situazioni particolarmente complesse, TIM si riserva di estendere tale periodo, dandone opportuna informativa a chi ha inviato la segnalazione.
Nel caso in cui fosse una persona giuridica (pubblica o privata), un ente, un consorzio o altra forma associativa, chi invia la segnalazione si impegna a limitare l'accesso alle informazioni sulle vulnerabilità rilevate ai soli propri dipendenti e nella misura strettamente necessaria per la propria attività, provvedendo comunque a porre in essere tutte le misure idonee ed adeguate ad assicurare la riservatezza ed i suddetti limiti d’accesso e d’uso delle informazioni sulle falle scoperte.
Una volta ricevuta la segnalazione, TIM si impegna a:
- inviare una prima mail di riscontro con cui comunica che la segnalazione è stata ricevuta, cui farà seguito entro 10 giorni una successiva mail sulla pertinenza della segnalazione rispetto al processo Responsible Disclosure e sull’esito dell’analisi preliminare effettuata da TIM;
- gestire la segnalazione in maniera adeguata per rispettare i tempi indicati e, in caso di segnalazione eleggibile relativa a vulnerabilità non già in corso di risoluzione, a ringraziare pubblicamente l'autore nella sezione ”Hall of Fame” se questo ha fornito la sua autorizzazione.
TIM non prevede ricompense economiche; inoltre si riserva la possibilità di non gestire segnalazioni che non soddisfano i criteri qui indicati.
TIM sottolinea l’importanza di assumere un atteggiamento responsabile anche dopo il rilascio della patch in quanto il suo processo di dispiegamento può essere lungo e complesso. Pertanto si chiede di valutare con attenzione il tipo di informazioni rilasciate al riguardo, sempre con l’obiettivo di preservare la sicurezza degli utenti.
Di seguito sono forniti alcuni esempi di Categorie di vulnerabilità considerate come eleggibili per la pubblicazione nella Hall of Fame:
- Cross Site Scripting (XSS)
- Cross Site Request Forgery (CSRF)
- Injection (ad es. SQL injection, user input)
- Broken Authentication and Session Management
- Broken Access Control
- Security Misconfiguration
- Redirect / Man in the Middle attacks
- Remote code execution
- Underprotected API
- Privilege Escalation
Sono invece escluse dall’iniziativa di Responsible Disclosure, e quindi considerate non eleggibili alla pubblicazione nella Hall of Fame, le seguenti casistiche:
- aspetti non inerenti la sicurezza (es. indisponibilità dei servizi, bug di GUI, ecc.) e gestibili quindi attraverso i canali tradizionali di customer care quali il 187, 119 e 191;
- problematiche di phishing/spam e vulnerabilità inerenti tecniche di social engineering da segnalare alla casella abuse@telecomitalia.it o tramite la form che si trova alla pagina
https://www.gruppotim.it/it/footer/form-abuse.html
- esiti di tool automatici di vulnerability assessment/penetration testing (es Nessus, nmap…).
- segnalazioni su configurazioni deboli del protocollo TLS piuttosto che in merito al mancato rispetto di best practice, quali ad esempio il non utilizzo di security headers.
TIM si riserva la possibilità di aggiornare, in qualunque momento, la procedura di Responsible Disclosure sopra descritta.
