Kwetsbaarheid melden

Versie 1.0 · De publicatiedatum staat in de versiebanner bovenaan deze pagina.

Truede verwerkt geld en gegevens uit je eID, wat ons een doelwit maakt. We doen ons best om veilig te bouwen, maar geen enkel systeem is foutloos. Vind je een kwetsbaarheid, dan willen we dat weten: liefst van jou, en niet van iemand met slechte bedoelingen.

Dit document beschrijft hoe je een kwetsbaarheid bij ons meldt, wat je van ons mag verwachten en wat we van jou vragen. In het Engels heet dit een Coordinated Vulnerability Disclosure Policy (CVDP).

Waar meld ik een kwetsbaarheid?

security@truede.be

Vermeld minstens:

• Wat je gevonden hebt, en genoeg informatie om het te reproduceren. Meestal volstaan

de URL of het IP-adres van het betrokken systeem plus een beschrijving van de stappen; bij een complexere kwetsbaarheid mag je gerust uitweiden.

• Hoe we je kunnen bereiken. Een e-mailadres volstaat. Een pseudoniem mag, zolang

we je erop kunnen antwoorden. Wil je liever anoniem blijven, dan kan dat ook, maar dan kunnen we je niet op de hoogte houden en niet belonen.

Dit adres is enkel voor kwetsbaarheden. Gaat het over illegale inhoud of een bericht van een overheid, gebruik dan de kanalen op Contactpunten.

Waarover gaat dit beleid?

Wel:

• de website en de app op truede.be en beta.truede.be
• onze API en onze WebSocket-verbindingen
• de Truede-app voor Android (be.truede.app)
• onze e-mail- en DNS-configuratie

Niet:

• systemen van derden waar we een beroep op doen maar die we niet beheren, onder meer

onze betaaldienstverlener, onze identiteitsverificatie, onze verzenddienst, onze hosting en ons CDN. Vind je daar iets, meld het dan rechtstreeks bij hen; laat het ons gerust weten, maar we kunnen het niet zelf oplossen.

• rapporten die enkel de uitvoer van een scanner bevatten, zonder aangetoonde impact
• ontbrekende best practices zonder concreet misbruikscenario (bijvoorbeeld een ontbrekende

header, een zwakke TLS-suite of een e-mailconfiguratie die geen spoofing toelaat)

• social engineering van onze medewerkers of onze gebruikers, en fysieke toegang

Wat vragen we van jou?

• Ga niet verder dan nodig. Je mag aantonen dat een kwetsbaarheid bestaat; je mag ze

niet uitbuiten. Kopieer, wijzig of verwijder geen gegevens van anderen, en haal nooit meer gegevens op dan strikt nodig is om het probleem aan te tonen. Kom je onbedoeld toch bij persoonsgegevens terecht (zeker bij gegevens die uit een eID komen), stop dan meteen, meld het, en neem er niets van op in je rapport.

• Wis wat je verkreeg zodra je het aan ons gemeld hebt.
• Raak de gegevens van echte gebruikers niet aan. Test op je eigen account, je eigen

zoekertjes en je eigen gesprekken. Niet op die van iemand anders.

• Verstoor onze dienst niet. Geen denial-of-service, geen spam, geen brute force, geen

geautomatiseerde scanners die verkeer genereren dat andere gebruikers hindert.

• Laat niets achter. Geen malware, geen backdoors, geen wijzigingen aan onze systemen.

Maakte je een testaccount of testgegevens aan, zeg dan welke.

• Maak het niet publiek zolang het niet opgelost is. Zie hieronder.

Wat beloven wij?

• We bevestigen je melding binnen 5 werkdagen en laten je binnen 10 werkdagen weten

hoe we ze inschatten en wanneer we een oplossing verwachten.

• We houden je op de hoogte tot het opgelost is.
• We behandelen je melding vertrouwelijk en geven je gegevens niet door aan derden

zonder je toestemming, behalve wanneer we daar wettelijk toe verplicht zijn.

• We vermelden je als vinder wanneer we over het probleem communiceren, tenzij je dat

liever niet hebt.

• We ondernemen geen juridische stappen tegen jou wanneer je je aan dit beleid houdt,

en we doen er ook geen aangifte van. Meld je te goeder trouw, dan beschouwen we je melding als een dienst aan ons en aan onze gebruikers.

Truede wordt uitgebaat door SinnaSoft BV en is klein: er zit een mens achter security@, geen team met een wachtdienst. Zit er een weekend of een vakantie tussen, dan kan een antwoord iets trager komen dan hierboven. Je melding raakt niet zoek.

Wat levert het je op?

Voor een geldige melding van een probleem dat we nog niet kenden, geven we een beloning. De hoogte hangt af van de ernst van de kwetsbaarheid en van de kwaliteit van je rapport:

Hoe dat praktisch werkt:

• Heb je geen Truede-account (bijvoorbeeld omdat je geen Belgische eID hebt of liever

onder pseudoniem werkt), dan geven we op jouw vraag een cadeaubon van een gelijkaardige waarde in plaats van Plus-maanden. Je moet dus geen account openen om beloond te worden.

• Op de Plus-maanden gelden de gemeenschappelijke regels van de

Plus-voorwaarden §7: ze zijn persoonlijk, niet overdraagbaar en niet inwisselbaar voor geld, er start geen betaald abonnement uit zichzelf, en staat Plus op dat moment uitgeschakeld, dan blijft je tegoed staan tot Plus actief wordt.

• Eén beloning per probleem, ongeacht hoeveel mensen het melden: de eerste bruikbare

melding telt. Een duplicaat of een variant van iets wat we al kennen, levert niets op.

• De inschatting van de ernst is de onze. We leggen ze uit wanneer je er niet mee akkoord

gaat, maar dit is een blijk van dank, geen bug bounty met een contractueel tarief.

Wat zegt de Belgische wet hierover?

Sinds 2023 mag je in België kwetsbaarheden opsporen en melden zonder dat je daar vooraf toestemming voor kreeg, op voorwaarde dat je je aan een aantal regels houdt. Dat kader staat nu in de NIS2-wet van 26 april 2024 (art. 22 en 23).

Twee zaken die daarbij horen en waar dit beleid niets aan verandert:

• Je moet je melding ook aan het Centrum voor Cybersecurity België (CCB) bezorgen, via

vulnerabilityreport@ccb.belgium.be, en dat binnen de termijnen die het CCB oplegt (een vereenvoudigde kennisgeving snel na je ontdekking, een volledige kort daarna). Je mag ons nooit later verwittigen dan het CCB. De actuele procedure staat op ccb.belgium.be.

• Je mag niet verder gaan dan wat noodzakelijk en proportioneel is om de kwetsbaarheid

aan te tonen. Dat is dezelfde regel die hierboven al onder ‘Wat vragen we van jou?’ staat.

Krijg je van ons geen of te traag antwoord, dan is het CCB ook het adres om dat te melden. We horen het uiteraard liever eerst zelf.

Mag ik erover publiceren?

Ja, nadat het opgelost is. We vragen je om ons minstens 30 dagen vooraf te laten weten dat je wil publiceren, zodat we onze gebruikers kunnen inlichten wanneer dat nodig is. Lukt het ons niet om het binnen een redelijke termijn op te lossen, neem dan contact op: dan spreken we samen een moment af in plaats van je aan een onbeperkt stilzwijgen te binden.

Vermeld je in je publicatie persoonsgegevens van gebruikers, dan is dat nooit in orde, ook niet na een oplossing.

Wie zijn wij?

De talen waarin je ons kan aanschrijven zijn Nederlands, Frans en Engels.