Sicherheitsrichtlinie

Was diese Richtlinie abdeckt

Diese Richtlinie gilt für den VerySafe EUDI Verifier, hergestellt von LimogiAI Solutions Inc:

• den gehosteten Dienst unter verify.verysafe.id;
• die selbst gehostete Edition: das Image ghcr.io/limogiai/eudi-verifier und die dazugehörigen Installationspakete.

Eine Schwachstelle melden

Schreiben Sie an admin@limogi.ai. Bitte teilen Sie uns mit:

• was betroffen ist: der gehostete Dienst oder eine selbst gehostete Version und wie sie konfiguriert ist;
• wie sie sich reproduzieren lässt und was ein Angreifer dadurch gewinnt;
• ob Ihnen bekannt ist, dass sie ausgenutzt wird;
• ob und wie Sie genannt werden möchten.

Wie Sie testen

Verwenden Sie die Testnachweise der EU, niemals die Daten einer realen Person. Testen Sie invasiv nur Ihre eigene Installation; ohne Lizenz läuft die selbst gehostete Edition als Sandbox. Tun Sie auf verify.verysafe.id nichts, was den Dienst verlangsamt oder an die Daten eines anderen Kunden gelangt.

Wie es weitergeht

1. Wir bestätigen den Eingang Ihrer Meldung und sagen Ihnen, wer sie bearbeitet.
2. Wir prüfen sie und sagen Ihnen, ob wir Ihre Einschätzung teilen und wie schwer wir die Schwachstelle einstufen.
3. Wir beheben die Schwachstelle. Der gehostete Dienst erhält die Korrektur, sobald sie fertig ist; Kunden der selbst gehosteten Edition erhalten sie in einem neuen Release.
4. Wir sagen den betroffenen Kunden, was zu tun ist.
5. Sobald die Korrektur verfügbar ist, veröffentlichen wir einen Sicherheitshinweis: was betroffen war, welche Versionen, wie schwer es ist und wie es sich beheben lässt. Auf Wunsch nennen wir Sie.

Bitte behandeln Sie die Einzelheiten vertraulich, bis der Sicherheitshinweis veröffentlicht ist; den Termin stimmen wir mit Ihnen ab. Wie schnell die einzelnen Schritte erfolgen, ist noch nicht festgelegt.

Wo EU-Recht es verlangt, melden wir eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Vorfall außerdem den Cybersicherheitsbehörden der EU. Die Cyberresilienzverordnung (Cyber Resilience Act) gibt uns 24 Stunden für eine erste Frühwarnung.

Welche Versionen Korrekturen erhalten

Eine Korrektur erscheint in einem neuen Release. Ältere Releases werden derzeit nicht nachträglich korrigiert.

Wofür andere zuständig sind

Probleme in den Systemen der EU selbst (den Vertrauenslisten, der Referenz-Wallet und dem Referenz-Aussteller) oder in einer Wallet liegen bei deren Herstellern. Sagen Sie es uns trotzdem, wenn eines davon unsere Ergebnisse beeinflusst; wir helfen Ihnen, die Hersteller zu erreichen.

Sicherheitshinweise

Sicherheitshinweise veröffentlichen wir auf dieser Website, jeden zusätzlich als CSAF-2.0-Dokument, das Sicherheitswerkzeuge lesen können.

Zu den Sicherheitshinweisen