Sicherheitsprobleme melden

Omnipacto verwaltet Verträge, Dokumente und Namen – Daten, bei denen ein Fehler teuer wird. Wenn Sie eine Schwachstelle gefunden haben, melden Sie sie bitte, bevor Sie darüber sprechen. Ich bin dankbar für jeden Hinweis, auch für den, der sich am Ende als Fehlalarm herausstellt.

Kontakt

E-Mail an sicherheit@omnipacto.de. Auf Wunsch antworte ich verschlüsselt; schreiben Sie das dazu.

Was mir hilft

• Die betroffene Fassung (steht unten links in der Anwendung, z. B. v0.4.1).
• Wie sich das Problem nachstellen lässt – Schritt für Schritt, gern mit Beispieldaten.
• Was dabei möglich wird: Daten lesen, Daten ändern, fremde Haushalte sehen, Server erreichen.
• Ob Sie in einer eigenen Installation getestet haben oder in einer fremden.

Was ich zusage

• Ich bestätige den Eingang Ihrer Meldung zeitnah.
• Ich sage Ihnen zeitnah, ob ich das Problem nachstellen konnte und wie ich es einschätze.
• Ich informiere Sie, wenn eine Fassung mit der Behebung erschienen ist.
• Auf Wunsch nenne ich Sie in den Versionshinweisen – oder ausdrücklich nicht.

Wie lange eine Fassung Aktualisierungen bekommt

Eine gekaufte Lizenz gilt zeitlich unbefristet und schließt Aktualisierungen ein (Nutzungsbedingungen, Ziffer 3). Solange Omnipacto weiterentwickelt wird, bekommt jede Fassung Sicherheitsaktualisierungen – ohne Ablaufdatum, ohne Wartungsvertrag und ohne Zwang, auf eine neue Hauptfassung zu wechseln.

Sollte die Entwicklung enden, kündige ich das mindestens sechs Monate vorher an dieser Stelle an; bis dahin werden Sicherheitslücken weiter behoben. Ein solcher Hinweis stünde hier ganz oben. Solange er fehlt, gilt der vorige Absatz – diese Seite ist die Stelle, an der Sie das nachsehen können.

Worum ich bitte

• Testen Sie in einer eigenen Installation. Omnipacto ist selbst gehostet; die Demo unter demo.omnipacto.de dürfen Sie dafür verwenden.
• Keine Angriffe, die den Betrieb stören (Lastangriffe, Massenanfragen) und keine Zugriffe auf fremde Daten. Wenn Sie versehentlich fremde Daten sehen, brechen Sie ab und schreiben Sie es mir.
• Geben Sie mir Gelegenheit, das Problem zu beheben, bevor Sie es veröffentlichen.

Was Omnipacto selbst dafür tut

• Jede veröffentlichte Fassung wird gegen einen Prüfkatalog abgenommen: Rollen- und Haushaltsgrenzen, Adressprüfung für angebundene Dienste, Upload-Härtung, Sitzungen und Zugänge, Sicherung und Wiederherstellung.
• Die Anwendung prüft höchstens einmal täglich auf neue Fassungen, damit Sicherheitsaktualisierungen ankommen. Wie das genau funktioniert und wie Sie es abschalten, steht in der Datenschutzerklärung.
• Zu jeder Fassung gibt es eine Stückliste der verwendeten fremden Bestandteile (SBOM, Format CycloneDX) und die Prüfsumme des Abbilds. Damit lässt sich nachvollziehen, was in einer Fassung steckt, und prüfen, ob das heruntergeladene Abbild das ist, das ich veröffentlicht habe.
• Jedes Abbild ist signiert (cosign). Die Prüfsumme allein sagt nur, dass sich seither nichts geändert hat – die Signatur sagt, dass es von mir stammt. Prüfen lässt sich das mit dem öffentlichen Schlüssel unter omnipacto.de/cosign.pub:

  cosign verify --key https://omnipacto.de/cosign.pub \
    ghcr.io/maaatze/omnipacto:<fassung>