Beveiligingsbeleid

Arnodiqa wordt gemaakt door GoTrust bv, Morelgem 24b, 9520 Vlierzele (Sint-Lievens-Houtem), België (ondernemingsnummer 1037.576.138). Dit beleid beschrijft hoe u een kwetsbaarheid in Arnodiqa meldt, wat u van ons mag verwachten en welke versies beveiligingsupdates krijgen.

Toepassingsgebied

Binnen het toepassingsgebied valt alles wat GoTrust als Arnodiqa verspreidt:

• de desktop-applicatie (Windows-installers, MSI en NSIS) en de componenten die erin zitten;
• de commandoregeltool (arnodiqa) en de CAPL-language server (arnodiqa-capl-lsp);
• de VS Code-extensie;
• de installers, updatebundels, documentatie en de website arnodiqa.com.

Buiten het toepassingsgebied; meld deze aan hun makers:

• drivers en bibliotheken van hardwarefabrikanten (PEAK-System, Vector, Kvaser, …) die Arnodiqa laadt maar niet meelevert;
• de Microsoft Edge WebView2 Runtime (meld aan het Microsoft Security Response Center, https://msrc.microsoft.com), tenzij het probleem ligt in hoe Arnodiqa die gebruikt;
• Seed & Key-bibliotheken of andere code die u of uw OEM aanlevert.

Twijfelt u, meld het dan aan ons; met uw toestemming sturen we het door naar de juiste partij.

Een kwetsbaarheid melden

Mail naar security@arnodiqa.com. Een OpenPGP-sleutel voor versleutelde berichten is op aanvraag beschikbaar.

Vermeld graag:

• de versie van Arnodiqa (Help > About Arnodiqa, of arnodiqa --version) en het besturingssysteem;
• een beschrijving van het probleem en de impact;
• de stappen om het te reproduceren, een proof of concept of een minimaal projectbestand;
• of u denkt dat de kwetsbaarheid al misbruikt wordt;
• hoe u vermeld wilt worden (naam, handle of anoniem).

Stuur geen echte meetlogs, sleutels, Seed & Key-bibliotheken of andere vertrouwelijke gegevens van uzelf of van uw klanten. Hebben we meer nodig, dan spreken we eerst een veilige manier af. Arnodiqa stuurt zelf nooit iets naar ons; een melding komt altijd van u.

U kunt ons schrijven in het Nederlands, het Engels of het Frans.

Wat u mag verwachten

Werkdagen zijn Belgische werkdagen, van 9.00 tot 17.00 uur Belgische tijd. De termijnen voor een oplossing zijn streefdoelen en vormen geen garantie; voor complexe problemen spreken we met u een datum af. Een kwetsbaarheid die actief misbruikt wordt, krijgt altijd de hoogste prioriteit.

Klanten met een onderhoudscontract kunnen ook via support melden met prioriteit P1; dan gelden daarnaast de reactietijden van de onderhoudsvoorwaarden.

Gecoördineerde bekendmaking

• We vragen u de kwetsbaarheid vertrouwelijk te houden tot er een oplossing is, of tot 90 dagen na uw melding, wat het eerst komt. Heeft een oplossing meer tijd nodig, dan leggen we uit waarom en stellen we een nieuwe datum voor; we vragen geen uitstel zonder einde.
• We publiceren een security advisory zodra de oplossing beschikbaar is (zie hieronder) en vermelden u, tenzij u liever niet genoemd wordt.
• We vragen een CVE-nummer aan voor elke bevestigde kwetsbaarheid in een uitgebrachte versie.
• Wordt een kwetsbaarheid actief misbruikt, dan kunnen we een waarschuwing met mitigaties publiceren voordat er een oplossing is, nadat we u verwittigd hebben.
• Ligt de kwetsbaarheid in een component van derden (bijvoorbeeld een open-sourcebibliotheek), dan melden we die ook aan de beheerders en coördineren we de bekendmaking met hen.

Veilige haven

U mag de beveiliging van Arnodiqa testen op uw eigen installaties (EULA, art. 7.5). We ondernemen geen juridische stappen tegen onderzoek te goeder trouw dat dit beleid respecteert: open, wijzig of vernietig geen gegevens die niet van u zijn, verstoor geen systemen van anderen (ook geen voertuigen of testbanken waarvoor u geen toestemming hebt), en geef ons redelijke tijd voor een oplossing vóór bekendmaking. Gecoördineerde bekendmaking is een verzoek van onze kant en geen voorwaarde van uw licentie.

Het Belgische recht laat ook toe kwetsbaarheden te melden aan het Centrum voor Cybersecurity België (CCB), het nationale CSIRT, dat als coördinator kan optreden: https://ccb.belgium.be.

Ondersteunde versies

Elke hoofdversie van Arnodiqa krijgt 5 jaar kosteloze beveiligingsupdates, gerekend vanaf de laatste van deze twee data: de eerste releasedatum van die hoofdversie, of de levering van uw licentie. De einddatum (minstens maand en jaar) staat in uw offerte of orderbevestiging. Een beveiligingsupdate is een oplossing voor uw versie of een latere versie binnen dezelfde hoofdversie, kosteloos, ook zonder onderhoudscontract. Elke beveiligingsupdate blijft minstens 10 jaar na de release te downloaden, of tot het einde van de ondersteuningsperiode als dat later is.

De licentieovereenkomst (EULA art. 9.4) en de onderhoudsvoorwaarden (art. 4) zijn de bindende teksten.

Advisories en meldingen

• Security advisories staan op https://arnodiqa.com/security/advisories, met de getroffen versies, ernst, CVE, oplossing en mitigaties.
• Getroffen klanten informeren we rechtstreeks per e-mail (het adres in de bestelling, of het laatste adres dat u ons hiervoor gaf) over kwetsbaarheden die actief misbruikt worden en over ernstige beveiligingsincidenten, met de maatregelen die ze kunnen nemen. U kunt zich ook per e-mail abonneren op alle security advisories via security@arnodiqa.com.
• Elke release komt met controlesommen en een software bill of materials (CycloneDX) naast de installer, zodat u die zelf kunt controleren.

security.txt

Het machineleesbare contact staat op https://arnodiqa.com/.well-known/security.txt (RFC 9116).