Seguretat i Notificació de Vulnerabilitats

1. Com notificar una vulnerabilitat

Escriu-nos a security@embediot.es. Ho pots fer en català, castellà o anglès. Perquè la puguem analitzar ràpidament, inclou-hi en la mesura del possible:

• El producte o servei afectat i la seva versió (per exemple, la versió del sistema que es mostra a la interfície del gateway).
• Una descripció de la vulnerabilitat i del seu possible impacte.
• Els passos necessaris per reproduir-la i, si en disposes, una prova de concepte.
• Com podem contactar amb tu i si vols aparèixer als agraïments.

No incloguis al teu missatge dades personals de tercers ni informació que hagis obtingut més enllà del que sigui estrictament necessari per demostrar el problema.

2. Abast

Aquesta política s'aplica a:

• El gateway LONTRA (equip, sistema operatiu, aplicació i el seu servei d'actualitzacions).
• Els serveis en línia associats al gateway (decoders.embediot.es i el registre d'actualitzacions).
• Aquest lloc web (embediot.es).

Queden fora del seu abast els productes i serveis de tercers (per exemple, Home Assistant o els sensors LoRaWAN d'altres fabricants); en aquest cas, contacta directament amb el fabricant.

3. Què pots esperar de nosaltres

• Justificant de recepció en un termini màxim de 3 dies feiners.
• Avaluació inicial (confirmació i gravetat) en un termini màxim de 10 dies feiners.
• Informació sobre el progrés de la correcció fins a la seva publicació.
• Correcció i publicació d'una actualització de seguretat en el termini més breu possible segons la seva gravetat, amb un objectiu de 90 dies com a màxim.
• Divulgació coordinada amb tu i, si ho vols, menció als agraïments.

4. Directrius per a una investigació responsable

Et demanem que:

• Facis les proves únicament sobre equips de la teva propietat o amb autorització expressa del seu propietari.
• No accedeixis, modifiquis ni eliminis dades d'altres persones, i no vagis més enllà del necessari per demostrar la vulnerabilitat.
• No facis atacs de denegació de servei, enginyeria social ni proves físiques a les nostres instal·lacions.
• No facis pública la vulnerabilitat fins que se n'hagi publicat la correcció o hagin passat 90 dies des de la teva notificació, llevat d'acord amb nosaltres.

Si actues de bona fe i respectes aquestes directrius, no emprendrem accions legals contra tu per la teva investigació.

5. Actualitzacions de seguretat i suport

Les correccions de seguretat del gateway es distribueixen mitjançant el seu servei d'actualitzacions, signades digitalment per Embed-IoT. L'equip avisa a la seva interfície quan hi ha una versió nova disponible i aplica de manera automàtica els pegats de seguretat del seu sistema operatiu.

Embed-IoT proporciona actualitzacions de seguretat per al gateway LONTRA durant un mínim de 5 anys des de la data d'introducció al mercat de cada equip. La data de final de suport del teu equip (mes i any) figura a l'embalatge i al manual d'usuari.

Quan una vulnerabilitat s'estigui explotant activament o es produeixi un incident greu, ho notificarem a les autoritats competents d'acord amb la normativa europea de ciberseguretat i informarem els usuaris afectats de les mesures que han d'adoptar.

6. Contacte

Notificacions de seguretat: security@embediot.es
Altres consultes: info@embediot.es
Informació llegible per màquina: /.well-known/security.txt

Aquesta és una traducció informativa. En cas de discrepància, preval la versió en castellà.