IT-Security
Vulnerability Disclosure Policy der Bundeswehr (VDPBw)
Die Bundeswehr legt größten Wert auf die Sicherheit ihrer IT-Systeme. Trotz sorgfältigster Implementierung, Konfiguration und Tests können dennoch Schwachstellen vorhanden sein.
Sollten Sie Schwachstellen in IT-Systemen und Webanwendungen der Bundeswehr entdecken, bitten wir Sie uns darüber zu informieren. Wir werden dann umgehend Maßnahmen ergreifen, um die gefundene Schwachstelle so schnell wie möglich zu beheben.
Die VDPBw darf nicht ohne Einwilligung der Bundeswehr dazu verwendet werden, um in Programmen Dritter Schwachstellenmeldungen aufzubereiten oder weiter zu vermitteln.
Gehen Sie wie folgt vor:
- Informieren Sie sich [hier] vor Ihrer Meldung über die Fälle, die nicht in den Geltungsbereich unserer Vulnerability-Disclosure-Policy der Bundeswehr fallen und in diesem Rahmen nicht bearbeitet werden.
- Nutzen Sie das Kontaktformular, um mit uns wegen des Sicherheitsproblems in Kontakt zu treten oder senden Sie Ihre Ergebnisse per E-Mail an security@bundeswehr.org. Verschlüsseln Sie Ihre Dokumentation mit unserem PGP-Schlüssel, damit diese sensiblen Informationen nicht in die falschen Hände geraten. Um die Kommunikation zwischen Ihnen und der zentralen Meldestelle in der Bundeswehr zu optimieren, bitten wir Sie um Verwendung folgender Formatvorlage [Link].
- Nutzen Sie die Schwachstelle oder das Problem nicht aus, indem Sie beispielsweise Daten herunterladen, verändern, löschen oder Code hochladen.
- Geben Sie Informationen über die Schwachstelle nicht an dritte Personen oder Institutionen weiter, außer dies wurde durch die Bundeswehr freigegeben.
- Führen Sie keine Angriffe auf unsere IT-Systeme durch, die Infrastruktur und Personen kompromittieren, verändern oder manipulieren.
- Führen Sie keine Social-Engineering (z.B. Phishing), (Distributed) Denial of Service, Spam oder andere Angriffe auf die Bundeswehr durch.
- Stellen Sie uns hinreichend Informationen zur Verfügung, damit wir das Problem reproduzieren- und analysieren können.
- Stellen Sie auch eine Kontaktmöglichkeit für Rückfragen bereit. In der Regel ist die Adresse oder die URL des betroffenen Systems und eine Beschreibung der Schwachstelle hinreichend. Komplexe Schwachstellen können aber weitere Erklärungen und Dokumentation erfordern.
Was wir versprechen:
- Wir versuchen die Schwachstelle so schnell wie möglich zu schließen.
- Sie erhalten von uns eine Rückmeldung zum Eingang Ihrer Meldung und auf Ihren Bericht.
- Handeln Sie gemäß den oben genannten Anweisungen der Security Policy der Bundeswehr, werden die Strafverfolgungsbehörden im Zusammenhang mit Ihren Erkenntnissen nicht informiert. Dies gilt nicht, wenn erkennbar kriminelle oder nachrichtendienstliche Absichten verfolgt werden.
- Wir werden Ihren Bericht vertraulich behandeln und Ihre personenbezogenen Daten nicht ohne Ihre Zustimmung an Dritte weitergeben.
- Wir werden Sie über den Eingang Ihrer Meldung informieren, darüber hinaus ebenso über die Validität der Schwachstelle/IT-Sicherheitslücke und die Behebung des Problems während des Zeitraums der Bearbeitung.
- Der Finder wird nach seinen Fähigkeiten beurteilt und nicht nach Alter, Ausbildung, Rasse, Geschlecht und Herkunft oder gesellschaftlichem Rang. Deshalb zeigen wir diesen Respekt auch öffentlich und erkennen diese Leistung an. Dazu werden wir, wenn nichts Anderes gewünscht ist, auf unserer Dankesseite die Beschreibung der geschlossenen Schwachstelle und den Namen (bzw. den Alias) des Entdeckers nennen, um so eine gute Zusammenarbeit mit der Bundeswehr auch öffentlich zum Ausdruck zu bringen. Qualifizierte Meldung von Schwachstellen.
Jedes Design- oder Implementierungsproblem bei der Bundeswehr kann gemeldet werden, das reproduzierbar ist und die Sicherheit beeinträchtigt.
Häufige Beispiele sind:
- Cross Site Request Forgery (CSRF)
- Cross Site Scripting (XSS)
- Insecure Direct Object Reference
- Remote Code Execution (RCE) – Injection Flaws
- Information Leakage an Improper Error Handling
- Unbefugter Zugriff auf Eigenschaften oder Konten
- uvm.
Dies können aber auch sein:
- Daten-/ Informations-Leaks
- Möglichkeit der Exfiltration von Daten / Informationen
- Aktiv ausnutzbare Hintertüren (Backdoors)
- Möglichkeit einer unautorisierten System-Nutzung
- Fehlkonfigurationen
Nicht-qualifizierte Schwachstellen
Die folgenden Schwachstellen / IT-Sicherheitslücken fallen nicht in den Geltungsbereich der Vulnerability-Disclosure-Policy der Bundeswehr:
- Angriffe, die einen physischen Zugriff auf das Gerät oder Netzwerk eines Benutzers erfordern.
- Formulare mit fehlenden CSRF-Token (Ausnahme: Die Kritikalität übersteigt das Common Vulnerability Scoring System (CVSS) Stufe 5.).
- Missing security headers, die nicht direkt zu einer ausnutzbaren Schwachstelle führen
- Die Verwendung einer als anfällig oder öffentlich als gebrochen bekannte Bibliothek (ohne aktiven Nachweis der Ausnutzbarkeit).
- Berichte von automatisierten Tools oder Scans ohne erklärende Dokumentation.
- Social Engineering gegen Personen oder Einrichtungen der Bundeswehr sowie deren Auftragnehmer.
- Denial of Service Angriffe (DoS/DDoS).
- Bots, SPAM, Massenregistrierung.
- Keine Einreichung von Best Practices (z.B. certificate pinning, securityheader).
- Verwendung von anfälligen und "schwachen" Cipher-Suites / Chiffren.
Formatvorlage einer Schwachstellenmeldung:
- Titel / Bezeichnung der Schwachstelle
- Schwachstellentypus
- Kurzerklärung der Schwachstelle (ohne technische Details)
- Betroffenes Produkt / Dienst / IT-System / Gerät
- Hersteller
- Produkt
- Version / Modell
- Exploitationtechnik
- Remote
- Local
- Netzwerk
- Physisch
- Authentication-Typ
- Pre-Auth
- Authentification Guest
- Benutzer-Privilegien (User / Moderator / Manager / Admin)
- Benutzerinteraktion
- No User
- Low User Interaction
- Medium User Interaction
- High User Interaction
- Technische Details und Beschreibung der Schwachstelle
- Proof of Concept
- Aufzeigen einer Lösungsmöglichkeit
- Autor und Kontaktdaten
- Einverständnis zur Nennung des Namens und der gefundenen Schwachstelle in der Danksagung
