Question 1

Hva er en sikkerhetssårbarhet?

Accepted Answer

En sikkerhetssårbarhet er enhver svakhet i våre apper, enheter, API-er eller infrastruktur som kan påvirke brukerens personvern, sikkerhet eller funksjonaliteten til produktene våre. En sikkerhetssårbarhet er IKKE en forespørsel om å slette informasjon, si opp tjenester eller hjelp i personlige saker. For saker som ikke gjelder sikkerhetssårbarheter, gå til brukerstøtten vår på support.life360.com. Se gjerne Vanlig spørsmål nr. 2 – Hva omfatter retningslinjene? for detaljer om hva som er innenfor og utenfor omfanget.Life360 setter stor pris på innsatsen fra sikkerhetsmiljøet og uavhengige forskere for å identifisere og varsle oss om sårbarheter på en ansvarlig måte. Målet vårt er å redusere risiko og øke sikkerheten for brukerne av våre digitale og fysiske produkter.

Question 2

Hva omfatter retningslinjene for rapportering av sikkerhetssårbarheter?

Accepted Answer

Du kan rapportere sikkerhetsproblemer knyttet til alle Life360-merkede og tilknyttede produkter, inkludert:  Life360 mobil- og nettapplikasjoner  Life360-maskinvare, samt våre:  Tile Bluetooth-sporingsenheter  Jiobit-posisjonsenheterLife360 Native webapplikasjonerLife360 Native offentlige SDK-er Følgende systemer og ressurser er underlagt sårbarhetsundersøkelser (ikke-uttømmende liste):  Nettsteder  https://www.life360.com  https://www.jiobit.comhttps://www.nativo.com API-er  api.life360.com  production.tile-api.com  backend.jiobit.com  Android  com.life360.android.safetymapd  com.thetileapp.tile  com.jiobit.app  iOS  Life360-find-family-friends  tile-find-lost-keys-phone  jiobit-for-families  All fastvare, applikasjoner, API-er og skytjenester tilknyttet Life360-, Jiobit- og Tile-enheter  Kategorier av sårbarheter innenfor omfanget:  Autentiserings- eller autorisasjonsproblemer  Uautorisert tilgang til brukerdata eller posisjon  Sårbarheter på serversiden (f.eks. RCE, SQLi, SSRF)  Lekkasje av PII for mobilklienter  Katalogtraversering, XSS og CSRF i sensitive funksjoner  Usikre direkte objektreferanser (IDOR)   API-logikkfeil  Eksponering av sensitive legitimasjonsopplysninger eller tokener med påvist konsekvens  Feilkonfigurasjoner med påviste sikkerhetsmessige implikasjoner Medlemskaps- og betalingsfeil (f.eks. kan du bli platinummedlem uten å betale utover en gratis prøveperiode).Kategorier av sårbarheter utenfor omfanget:Visse sårbarheter anses som utenfor omfanget av Bug Bounty-programmet. Disse sårbarhetene utenfor omfanget inkluderer, men er ikke begrenset til:https://docs.hackerone.com/en/articles/8494488-core-ineligible-findingsUnntak fra omfanget som oppført på HackerOneSystemer fra nylig fusjon og oppkjøp innen 60 dager etter fullføringKjente problemer (ikke en fullstendig liste)Verifisering av kontoregistrering via telefon/e-post (vi bruker ikke tradisjonell 2FA)Kjente sårbarheter (CVE-er) uten en påvist utnyttelse i vårt miljøAnnetEventuelle fysiske angrep mot Life360-eiendommer eller datasentreSosial manipulering av ansatte, kontraktører eller leverandørerInjeksjon (HTML, CSV) uten å demonstrere en sårbarhet og PoC-utnyttelseCSS-injeksjonsangrep (med mindre det gir deg muligheten til å lese anti-CSRF-tokener eller annen sensitiv informasjon).Automatiserte skannerapporter uten validert reproduserbar påvirkningInkludert fra AI-skanneverktøy uten validering av utnyttbarhet og påvirkningTidligere kjente sårbare biblioteker eller rammeverk uten et fungerende konseptbevis og utnyttelseKjente sårbarheter med oppdateringer &lt;30 dager gamleSårbarheter som bare påvirker brukere av utdaterte mobilapplikasjoner[mindre enn 2 stabile versjoner bak den siste utgitte stabile versjonen]Sårbarheter som bare påvirker brukere av utdaterte eller ikke-oppdateringede nettlesere[mindre enn 2 stabile versjoner bak den siste utgitte stabile versjonen]API-legitimasjon eller nøkkeleksponering uten en påvist forretningsrisiko. Ikke bruk en API-nøkkel for å øke regningen. Denne typen problemer er ikke kvalifisert for belønninger.Tilstedeværelse/mangel på autofullføringsattributt på nettskjemaer/passordbehandlereProblemer med hastighetsbegrensning eller bruteforceUbrukte HTTP-metoder eller svarkoder bruktAvsløringer av private IP-adresser/vertsnavn eller ekte IP-adresser for tjenester som bruker CDNMobilrelaterte problemer, inkludert hemmeligheter som finnes i applikasjonen, må ha en tilhørende forretningsrisiko for misbruk av disse hemmeligheteneSårbarheter som involverer stjålne legitimasjonsopplysningerFullstendig stiavsløringKrav til passordkompleksitet, konto-/e-postopplisting eller enhver rapport som diskuterer hvordan du kan finne ut om et gitt brukernavn eller en gitt e-postadresse er lett å gjetteWordPress-administratorendepunkter eksponert uten fungerende konseptutnyttelse

Question 3

Hvordan kan jeg rapportere en sikkerhetssårbarhet?

Accepted Answer

Vi tar sikkerhet veldig alvorlig. Hvis du mener du har oppdaget en sikkerhetssårbarhet i noen av våre produkter eller tjenester som er innenfor omfanget, ber vi deg rapportere det gjennom en av følgende kanaler:Send inn rapporten din gjennom vårt HackerOne-program på https://hackerone.com/life360. Hvis du trenger en invitasjon, send hele rapporten din på e-post til responsibledisclosure@life360.com, så får vi deg i gang.Alternativt, hvis du ikke kan bruke HackerOne, kan du sende rapporten din direkte på e-post til vulnerability-disclosure@life360.com.For problemer som ikke er sikkerhetssårbarheter, vennligst besøk vårt Hjelpesenter på support.life360.com.For å hjelpe oss med å etterforske effektivt, vennligst inkluder følgende i rapporten din:Produktnavn og versjon (f.eks. Life360-app, Tile Mate-enhet)En klar beskrivelse av sårbarhetenDetaljerte trinn for å reprodusere problemetDato for oppdagelseKontaktinformasjonen din (valgfritt, men anbefales for oppfølging)Vi vil kun bruke informasjonen din til å etterforske og svare på problemet.

Question 4

Når kan jeg forvente svar etter at jeg har sendt inn en rapport om sikkerhetssårbarhet? Får jeg oppdateringer underveis?

Accepted Answer

Vi har som mål å svare raskt og transparent.  Dette kan du forvente:  Vi bekrefter mottak av alle innsendinger innen 10 virkedager.  Dersom innsendingen vurderes som en gyldig sikkerhetssårbarhet, vil vi komme med oppdateringer og kan be om mer informasjon innen 30 dager.  Ved bekreftet sårbarhet gir vi løpende statusoppdateringer frem til saken er løst.  Hvis vi etter gjennomgang vurderer at rapporten ikke faller innenfor våre kriterier for en gyldig sikkerhetssårbarhet, kan videre oppfølging utebli etter første bekreftelse. For andre typer problemer, kan du gå til brukerstøtten vår på  support.life360.com .  Life360 forbeholder seg retten til å vurdere alvorlighetsgrad, håndtering og tidslinje for alle rapporterte sårbarheter. Ingenting i dette dokumentet innebærer en juridisk forpliktelse utover det som kreves etter gjeldende lov, og etablerer heller ikke noen kontraktsmessige rettigheter for tredjeparter. Retningslinjene kan endres uten forvarsel. Deltakelse i programmet garanterer ikke svar, utbedring eller anerkjennelse – med mindre loven krever det.

Question 5

Hvilke retningslinjer bør jeg følge når jeg utarbeider rapporten om sikkerhetssårbarheter?

Accepted Answer

Når du skal sende inn en sårbarhetsrapport, må du huske på følgende retningslinjer: Send inn alle rapporter privat via mekanismene som er oppført i delen Hvordan kan jeg rapportere en sikkerhetssårbarhet? Send tydelige og gjenskapbare rapporter. Ufullstendige eller uklare innsendinger kan bli avvist  Test kun systemer og eiendeler som eksplisitt er omfattet av programmet. Ikke utvid tilgangen utover det bekreftede funnet  Ikke målrett tredjeparters tjenester. Bruk automatiserte verktøy med maks 60 forespørsler/sek, og stopp umiddelbart hvis det oppstår driftsforstyrrelser  Send én rapport per sårbarhet, med mindre flere relaterte problemer må lenkes sammen  Kun den første gyldige rapporten kvalifiserer til anerkjennelse; duplikater eller avledede problemer kan slås sammen  Hvis du støter på personlig identifiserbar informasjon (PII), beskyttet immateriell eiendom, eller påvirker fellestjenester negativt – stopp testen umiddelbart og varsle oss  Forsøk på sosial manipulering, phishing eller fysisk tilgang er forbudt  Bruk kun testkontoer du selv eier eller har tillatelse til å bruke. Ikke bruk ekte brukerdata – selv ikke dine egne  Du kan benytte prøve- eller betalte medlemskap for å få tilgang til premiumfunksjoner i testøyemed. For å støtte undersøkelsene dine:  Opprett testkontoer med gyldig legitimasjon og et legitimt telefonnummer  Du kan bruke prøveperioder eller betalte medlemskap for å få tilgang til premiumfunksjonalitet  Life360 avgjør selv hvordan en rapport vurderes, hvor alvorlig den er, og om og hvordan den skal følges opp. Ingenting i disse vanlige spørsmålene forplikter Life360 til å iverksette tiltak utover det som er lovpålagt, og det skaper heller ingen kontraktsmessige eller juridiske rettigheter for noen part. Life360 kan oppdatere eller endre disse vanlige spørsmålene når som helst uten varsel. Deltakelse i dette programmet gir ingen garanti for svar, utbedring eller belønning – med mindre loven krever det.

Question 6

Jeg synes at rapporten min om en sikkerhetssårbarhet ikke blir håndtert riktig – hva kan jeg gjøre?

Accepted Answer

Hvis du ikke er fornøyd med hvordan rapporten din er behandlet, kan du be om en ny vurdering ved å svare på den opprinnelige e-posten du mottok.  Vennligst legg ved en tydelig oppsummering av bekymringene dine, slik at vi kan gjennomføre en grundig ny vurdering.  Vi er opptatt av å håndtere alle rapporter rettferdig, åpent og i tråd med våre retningslinjer for offentliggjøring.

Question 7

Hvordan håndteres opplysninger om meg som er inkludert i rapporten om en sikkerhetssårbarhet?

Accepted Answer

Alle personopplysninger som samles inn (f.eks. navn og e-postadresse) vil kun bli brukt til å behandle sikkerhetsrapporten din og kommunisere med deg om den.

Vanlige spørsmål om rapportering av sikkerhetssårbarheter