Was wir zusagen
Jede dieser Fristen ist eine Zusage, keine Absichtserklärung. Sie gelten für alles im Geltungsbereich, auf Deutsch oder Englisch, ob Sie Kunde sind oder nicht.
- 3 Werktage bis zur Eingangsbestätigung einer Meldung.
- 10 Werktage bis zur Bewertung: ob sie angenommen wird, der Schweregrad, der CVSS-Vektor mit Begründung und die CWE-Kette.
- 90 Tage bis zur Offenlegung, ab der Meldung oder ab Auslieferung eines Fixes, je nachdem, was zuerst eintritt.
Die Zielfrist für die Behebung richtet sich nach dem Schweregrad und wird mit Ihnen abgestimmt, wenn die Bewertung vorliegt. Verlängerungen erfolgen nach Absprache und werden öffentlich vermerkt, wenn das Advisory erscheint. Wenn ein Termin nicht hält, erfahren Sie das vorher, mit Grund und neuem Termin.
Eine Schwachstelle melden
Schreiben Sie an egelhaus@ennogelhaus.de oder reichen Sie über GAdvisory ein. Beides erreicht dieselbe Person und startet denselben Ablauf. Für die Adresse ist über WKD ein PGP-Schlüssel veröffentlicht, die maschinenlesbare Fassung steht in der security.txt.
Eine brauchbare Meldung sagt, was Sie getan haben, was passiert ist und was Sie stattdessen erwartet hatten, mit einer Version oder einem Commit und genug Detail, um es nachzuvollziehen. Wenn Sie einen CVSS-Vektor im Kopf haben, senden Sie den Vektor statt der Zahl. Wenn Sie nicht sicher sind, ob es eine Schwachstelle ist, senden Sie es und sagen Sie das dazu.
Bitte eröffnen Sie kein öffentliches Issue und posten Sie es nicht in einen Chat-Kanal: beides ist im Moment des Absendens öffentlich. Die vollständige Offenlegungsrichtlinie sagt, was nach Ihrer Meldung geschieht.
Safe Harbour
Melden Sie in gutem Glauben, und wir gehen deswegen nicht gegen Sie vor und bitten auch niemanden sonst darum.
Guter Glaube heißt: nur gegen die eigene Installation oder ein eigenes Konto testen, nicht auf fremde Daten zugreifen und sie nicht verändern, den Dienst für andere nicht beeinträchtigen, kein automatisiertes Scannen, das auf eine Dienstblockade hinausläuft, und dem Zeitplan oben eine Chance geben, bevor Sie an die Öffentlichkeit gehen.
Voreingestellt geht Ihre Meldung mit Ihrer Nennung in den öffentlichen Bestand ein, unter dem Namen oder Handle, den Sie angeben. Sagen Sie Bescheid, und das unterbleibt; so oder so erfahren Sie es vor der Veröffentlichung.
Was abgedeckt ist
Die Software, die Gelhaus Solutions veröffentlicht, und die Dienste, die es betreibt: die GHub-Produktreihe, die unter der Organisation Gelhaus Solutions veröffentlichten Werkzeuge und deren gehostete Instanzen. Für jedes Produkt heißt das das Ganze: das Quell-Repository, die daraus veröffentlichten Artefakte und die Produktivinstallation.
- GPlatform ist teilweise erfasst: die Module, die es ausliefert, liegen im Geltungsbereich, die Plattform selbst nicht, da sie nicht an Kunden ausgeliefert wird.
- Unsere Forks (Vulnogram, Kener, Discord Tickets) sind für den Code erfasst, den wir geschrieben oder geändert haben.
- Postiz liegt nicht in diesem Geltungsbereich. Es hat eine eigene CVE Numbering Authority mit MITRE als TL-Root und eine eigene GCVE Numbering Authority; Funde in Postiz gehen dorthin.
Maßgeblich ist die Liste im Geltungsbereich. Auch eine Meldung zu etwas, das dort nicht steht, wird gelesen und beantwortet.
Wo die Daten liegen
Unsere Dienste laufen in Deutschland: auf eigener Hardware und auf Servern, die wir bei IONOS in Deutschland mieten. E-Mail läuft über unseren eigenen Mailserver, und Dateien liegen in unserem eigenen MinIO-Objektspeicher.
Die Anbieter, die wir einsetzen, wofür und wo, stehen auf der Seite zu den Unterauftragsverarbeitern dieses Trust Centers.
Technische und organisatorische Maßnahmen
Aus dem Verzeichnis von Verarbeitungstätigkeiten ROPA-0048Was Gelhaus Solutions tun, um die personenbezogenen Daten zu schützen, die sie für Geschäftskunden verarbeiten, wie es ihr Verzeichnis von Verarbeitungstätigkeiten festhält. Wie im Verzeichnis geführt, auf Englisch.
- Location: Customer Personal Data is processed in Germany, on servers that Gelhaus Solutions owns and operates on its own premises and on servers rented from IONOS SE in data centres in Germany. The Sub-processors in Schedule 3 process it as stated there.
- Physical access control: the servers of Gelhaus Solutions are on its own premises, which are not open to the public and are locked when nobody is present. IONOS secures its data centres with its own certified measures. Storage media that are no longer used are securely wiped or physically destroyed.
- System access control: every account is personal; there are no shared accounts for people. The administrative interfaces of the servers, including SSH, are reachable only from the internal network or over an encrypted VPN, and not from the internet. Administrative access to the hosted services is protected by a second factor, a passkey or a key.
- Data access control: access is granted only where the service needs it, and is removed when it is no longer needed; access is role-based and logged in an audit trail. Credentials, secrets and keys are kept in HashiCorp Vault or an equivalent encrypted secrets store, never in source code or in plain text. Each service runs with its own credentials and with the least privileges it needs.
- Separation: within each hosted service, Customer Personal Data is kept apart from the data of other customers, in its own database or instance or by separation by customer in the service's database, and is used for no other purpose.
- Encryption: every connection over a public network uses TLS 1.2 or later or an encrypted VPN. Passwords, API tokens and comparable secrets are stored as hashes rather than as values, and integration secrets are encrypted at rest. Backups are encrypted before they leave the server they are taken from.
- Minimisation: no service processes more data than it needs. Logs leave out passwords, tokens, secrets and API keys, and request logs are kept for at most 30 days.
- Input control: administrative changes to systems are attributable to a person, configuration is kept under version control, and the services keep audit logs of administrative actions where they provide them.
- Availability and resilience: systems are monitored. Security updates are applied on a schedule, and for critical vulnerabilities without undue delay.
- Backups and recovery: backups are made daily to a backup server on the premises of Gelhaus Solutions in Germany. Daily backups are kept for a few weeks and monthly backups for at most one year.
- Incident response: security incidents are handled as the clause “Personal data breaches” requires.
- Persons: at the date of this agreement, only Enno Gelhaus, the owner of Gelhaus Solutions, has access. Any other person is bound to confidentiality before receiving access, is instructed on data protection, and loses access when it is no longer needed.
- Regular testing: Gelhaus Solutions reviews the effectiveness of these measures at least once a year, after every significant change and after every incident (Art. 32(1)(d) GDPR), and gives the Customer the results on request.
- Certification: Gelhaus Solutions holds no certification of its own. It relies on the certifications and audit reports its Sub-processors make available, which it passes on to the Customer on request as far as it may.
- Data portability and erasure: the Customer can export and delete its data with the functions each hosted service provides; Gelhaus Solutions deletes as the clause “Return and deletion” provides.
Wer die Daten noch verarbeitet
8 Unternehmen verarbeiten personenbezogene Daten für Gelhaus Solutions, jeweils mit Zweck, Ort und Garantie.