Sicherheit und Responsible Disclosure

Meldung

So melden Sie eine Sicherheitslücke

Wenn Sie glauben, ein Sicherheitsproblem in Lumethic gefunden zu haben — einen Weg, ein gefälschtes Bild durch die Verifizierung zu bringen, eine Schwachstelle in der Plattform, der API, den Browser-Tools oder den Apps —, möchten wir es vor allen anderen erfahren.

• Schreiben Sie an hello@lumethic.com mit "Security" in der Betreffzeile. Eine maschinenlesbare Version dieser Kontaktdaten ist unter /.well-known/security.txt veröffentlicht.
• Beschreiben Sie, was Sie gefunden haben, die Schritte zur Reproduktion und, falls es um die Verifizierungs-Engine geht, die beteiligten Dateien. Bitte übermitteln Sie keine personenbezogenen Daten Dritter.
• Wir bestätigen Ihre Meldung innerhalb von drei Werktagen, halten Sie während der Untersuchung auf dem Laufenden und informieren Sie, wenn das Problem behoben ist.
• Wenn Sie nach der Behebung öffentlich genannt werden möchten, tun wir das gern. Wenn Sie anonym bleiben möchten, respektieren wir das.

Geltungsbereich

Was in den Geltungsbereich fällt

Das interessante Ziel ist die Verifizierungs-Engine selbst. Ein Weg, ein manipuliertes oder synthetisches Bild als verifiziert durchgehen zu lassen, ist für uns wertvoller als die meisten klassischen Web-Schwachstellen.

Forschung in gutem Glauben

Worum wir bitten und was wir zusagen

Gegen Sicherheitsforschung in gutem Glauben gehen wir nicht rechtlich vor: Tests mit eigenen Konten und Dateien, Respekt vor den Daten und der Privatsphäre anderer Nutzer, keine Störung des Dienstes und eine angemessene Frist zur Behebung, bevor Sie ein Problem veröffentlichen.

Nicht im Umfang: Denial-of-Service- und volumetrische Angriffe, Spam oder Social Engineering gegen Lumethic-Nutzer oder -Mitarbeiter, physische Angriffe sowie Schwachstellen in Diensten Dritter, die wir nutzen, aber nicht betreiben. Meldungen, die nur aus Scanner-Ausgaben ohne nachgewiesene Auswirkung bestehen, kommen für eine Nennung in der Regel nicht in Frage.

Zertifikatsverwaltung

Wie Lumethic-signierte Credentials verwaltet werden

Lumethic signiert C2PA-Manifeste nur für Bilder, die die forensische Verifizierung bestanden haben. Die ECDSA-P-384-Signaturschlüssel werden getrennt von der Anwendungsinfrastruktur verwaltet und sind zu keinem Zeitpunkt im Browser oder in Client-Tools vorhanden.

Sollte ein Signaturschlüssel jemals kompromittiert werden oder ein nachgewiesener Bypass dazu geführt haben, dass Inhalte signiert wurden, die nicht hätten signiert werden dürfen, verpflichten wir uns zu Folgendem, in dieser Reihenfolge: Widerruf des betroffenen Zertifikats, sodass die betroffenen Manifeste in C2PA-Tools nicht mehr validieren, Veröffentlichung eines Vorfallsberichts mit Hergang und betroffenem Zeitfenster sowie direkte Benachrichtigung der betroffenen Kontoinhaber.

Die Branche hat bereits erlebt, was passiert, wenn diese Planung fehlt: Als 2025 der Signaturprozess eines Kameraherstellers umgangen wurde, mussten nachträglich sämtliche ausgestellten Zertifikate widerrufen werden. Ein Vertrauensprodukt muss seine eigenen Fehlerszenarien planen, bevor sie eintreten — dieses Verfahren vorab zu veröffentlichen, ist Teil davon.

Incident Response

So werden Vorfälle behandelt

Bestätigte Sicherheitsvorfälle werden sofort triagiert: Umfang bewerten, Schwachstelle schließen, dann offenlegen. Betrifft ein Vorfall die Gültigkeit ausgestellter Verifizierungsberichte oder signierter Credentials, nennt die Offenlegung das betroffene Zeitfenster, damit sich Dritte, die sich auf die Berichte stützen, neu vergewissern können.

Verletzungen des Schutzes personenbezogener Daten werden nach Artikel 33 und 34 DSGVO behandelt, einschließlich der Meldung an die Aufsichtsbehörde binnen 72 Stunden, wo erforderlich, und der direkten Benachrichtigung betroffener Nutzer, wo das Risiko es gebietet.