Flock Safety estabelece política de divulgação de vulnerabilidades

A Flock Safety, empresa de vigilância e segurança pública, publicou a sua política de divulgação de vulnerabilidades, definindo regras para investigadores de segurança.

Uma nova abordagem à segurança dos sistemas da Flock Safety

A Flock Safety, conhecida pelas suas soluções de vigilância que incluem câmaras de reconhecimento automático de matrículas (ALPR), sistemas de videovigilância e deteção de disparos, oficializou a sua política de divulgação de vulnerabilidades. A empresa, que fornece tecnologia a agências de segurança pública e organizações privadas, procura agora formalizar a colaboração com investigadores de segurança para identificar e corrigir falhas nos seus produtos.

A política abrange todos os serviços e dispositivos da Flock, incluindo hardware, firmware, aplicações móveis, web e serviços na nuvem. Contudo, a empresa ressalva que serviços operados por terceiros sob a marca Flock estão fora do âmbito desta política, embora se comprometa a encaminhar qualquer reporte recebido para a entidade responsável.

Regras para investigadores e o conceito de "Safe Harbor"

A Flock Safety estabeleceu diretrizes claras para quem pretende reportar vulnerabilidades. A empresa permite a utilização de ferramentas de IA e scanners automatizados, mas exige que cada submissão seja autónoma e validada. Relatórios que consistam apenas em outputs de ferramentas ou que descrevam comportamentos teóricos não verificados serão encerrados sem correção.

Um ponto central desta política é a proteção do investigador. A Flock garante que não tomará medidas legais contra quem conduza investigação de boa-fé e em conformidade com as regras estabelecidas. A empresa define "boa-fé" como a conduta que prioriza a segurança e a privacidade, proibindo explicitamente a extração de dados de clientes, a partilha de credenciais ou a exploração de sistemas para além do necessário para demonstrar a vulnerabilidade.

• Sem recompensas monetárias: A empresa não possui um programa de bug bounty pago, mas oferece crédito aos investigadores que reportarem falhas válidas, caso estes assim o desejem.
• Gestão de CVEs: Após a validação de uma falha, a Flock reserva um identificador CVE e publica um aviso de segurança assim que a correção estiver disponível.
• Prazos de correção: A empresa estabeleceu um prazo de 120 dias para a publicação de avisos, um período mais longo que o padrão da indústria, justificado pela complexidade dos ciclos de atualização de hardware em campo.

A empresa enfatiza que a segurança é uma responsabilidade partilhada e que o diálogo antecipado é preferível a ações que possam comprometer a integridade dos dados. Investigadores que tenham dúvidas sobre se uma ação específica está dentro do âmbito autorizado são encorajados a contactar a empresa através do email oficial de reporte.