Politique de sécurité

Arnodiqa est développé par GoTrust bv, Morelgem 24b, 9520 Vlierzele (Sint-Lievens-Houtem), Belgique (numéro d'entreprise 1037.576.138). Cette politique explique comment signaler une vulnérabilité dans Arnodiqa, ce que vous pouvez attendre de nous et quelles versions reçoivent des mises à jour de sécurité.

Champ d'application

La politique couvre tout ce que GoTrust distribue sous le nom Arnodiqa :

• l'application de bureau (programmes d'installation Windows, MSI et NSIS) et les composants qu'elle contient ;
• l'outil en ligne de commande (arnodiqa) et le serveur de langage CAPL (arnodiqa-capl-lsp) ;
• l'extension VS Code ;
• les programmes d'installation, les paquets de mise à jour, la documentation et le site arnodiqa.com.

Hors du champ d'application, à signaler directement à leurs éditeurs :

• les pilotes et bibliothèques des fabricants de matériel (PEAK-System, Vector, Kvaser…) qu'Arnodiqa charge sans les fournir ;
• Microsoft Edge WebView2 Runtime (à signaler au Microsoft Security Response Center, https://msrc.microsoft.com), sauf si le problème tient à la façon dont Arnodiqa l'utilise ;
• les bibliothèques Seed & Key et tout autre code fourni par vous ou par votre constructeur.

En cas de doute, signalez-le-nous ; avec votre accord, nous transmettons le signalement à l'interlocuteur compétent.

Signaler une vulnérabilité

Écrivez à security@arnodiqa.com. Une clé OpenPGP pour les messages chiffrés est disponible sur demande.

Merci d'indiquer :

• la version d'Arnodiqa (Help > About Arnodiqa, ou arnodiqa --version) et le système d'exploitation ;
• une description du problème et de son impact ;
• les étapes de reproduction, une preuve de concept ou un fichier de projet minimal ;
• si vous pensez que la vulnérabilité est déjà exploitée ;
• la manière dont vous souhaitez être cité (nom, pseudonyme ou anonymat).

N'envoyez pas de journaux de mesure réels, de clés, de bibliothèques Seed & Key ni d'autres données confidentielles vous appartenant ou appartenant à vos clients. Si nous avons besoin de plus d'informations, nous convenons d'abord avec vous d'un moyen d'échange sécurisé. Arnodiqa ne nous envoie jamais rien de lui-même ; un signalement vient toujours de vous.

Vous pouvez nous écrire en français, en anglais ou en néerlandais.

Ce que vous pouvez attendre de nous

Les jours ouvrables sont les jours ouvrables belges, de 9 h à 17 h, heure belge. Les délais de correction sont des objectifs et ne constituent pas une garantie ; pour les problèmes complexes, nous convenons d'une date avec vous. Une vulnérabilité activement exploitée est toujours traitée en priorité absolue.

Les clients sous contrat de maintenance peuvent également passer par le support avec la priorité P1 ; les délais de réponse des conditions de maintenance s'appliquent alors en complément.

Divulgation coordonnée

• Nous vous demandons de garder la vulnérabilité confidentielle jusqu'à la disponibilité d'un correctif, ou jusqu'à 90 jours après votre signalement si cette date intervient plus tôt. Si un correctif demande plus de temps, nous vous en expliquons la raison et proposons une nouvelle date ; nous ne demandons jamais de report sans échéance.
• Nous publions un avis de sécurité dès que le correctif est disponible (voir ci-dessous) et vous y citons, sauf si vous préférez rester anonyme.
• Nous demandons un identifiant CVE pour chaque vulnérabilité confirmée qui touche une version publiée.
• Si une vulnérabilité est activement exploitée, nous pouvons publier un avertissement avec des mesures d'atténuation avant que le correctif soit prêt, après vous en avoir informé.
• Si la vulnérabilité se trouve dans un composant tiers (une bibliothèque open source, par exemple), nous la signalons également à ses mainteneurs et coordonnons la divulgation avec eux.

Protection juridique des chercheurs

Vous pouvez tester la sécurité d'Arnodiqa sur vos propres installations (EULA, art. 7.5). Nous n'engageons aucune action en justice contre une recherche menée de bonne foi dans le respect de cette politique, à savoir : ne pas consulter, modifier ou détruire des données qui ne vous appartiennent pas, ne pas perturber les systèmes de tiers (y compris des véhicules ou des bancs de test que vous n'êtes pas autorisé à utiliser) et nous laisser un délai raisonnable de correction avant toute divulgation. La divulgation coordonnée est une demande de notre part et ne constitue pas une condition de votre licence.

Le droit belge permet également de signaler une vulnérabilité au Centre pour la Cybersécurité Belgique (CCB), le CSIRT national, qui peut jouer le rôle de coordinateur : https://ccb.belgium.be.

Versions prises en charge

Chaque version majeure d'Arnodiqa reçoit gratuitement des mises à jour de sécurité pendant 5 ans, à compter de la plus tardive de ces deux dates : la date de première publication de cette version majeure, ou la livraison de votre licence. La date de fin (au minimum le mois et l'année) figure sur votre offre ou votre confirmation de commande. Une mise à jour de sécurité est soit un correctif pour votre version, soit une version ultérieure au sein de la même version majeure, sans frais, y compris sans contrat de maintenance. Chaque mise à jour de sécurité reste téléchargeable pendant au moins 10 ans après sa publication, ou jusqu'à la fin de la période de prise en charge si celle-ci est plus tardive.

Le contrat de licence (EULA, art. 9.4) et les conditions de maintenance (art. 4) sont les textes qui font foi.

Avis de sécurité et notifications

• Les avis de sécurité sont publiés à l'adresse https://arnodiqa.com/security/advisories, avec les versions concernées, la gravité, l'identifiant CVE, le correctif et les mesures d'atténuation.
• Nous informons directement par e-mail les clients concernés (à l'adresse indiquée dans la commande, ou à la dernière adresse communiquée à cette fin) des vulnérabilités activement exploitées et des incidents de sécurité graves, avec les mesures qu'ils peuvent prendre. Vous pouvez aussi vous abonner par e-mail à l'ensemble des avis de sécurité via security@arnodiqa.com.
• Chaque version est accompagnée de sommes de contrôle et d'une nomenclature logicielle (SBOM, au format CycloneDX), placées à côté du programme d'installation pour vos propres vérifications.

security.txt

Le contact lisible par machine est publié à l'adresse https://arnodiqa.com/.well-known/security.txt (RFC 9116).