Ética
O newt lab publica pesquisa sobre as vulnerabilidades que descobre. Fazemos isso porque o campo da segurança da informação avança pelo conhecimento compartilhado, e porque o interesse público em sistemas seguros é mais bem servido pela divulgação do que pelo silêncio. Esta página carrega as políticas que regem esse trabalho: como e quando divulgamos o que encontramos, e para quem trabalhamos — e para quem não. Cada cláusula tem uma âncora estável — passe o cursor sobre um título para copiar o link da cláusula exata.
Política de divulgação de vulnerabilidades
Esta política se aplica a todas as vulnerabilidades descobertas por pesquisadores do newt lab em software, firmware, hardware ou serviços operados por terceiros.
Resumo
- 90 + 30 dias. Damos aos fornecedores 90 dias para publicar uma correção. Estendemos por até 30 dias adicionais se o fornecedor estiver fazendo progresso substantivo em direção a um patch. Vencida a janela combinada, publicamos.
- 7 dias para exploração ativa. Se descobrirmos uma vulnerabilidade sendo ativamente explorada contra usuários reais, publicaremos em até 7 dias. Proteger usuários em risco prevalece sobre a preferência do fornecedor.
- Publicamos com ou sem o consentimento do fornecedor. Coordenamos quando possível.
A janela de 90 dias
Quando comunicamos uma vulnerabilidade a um fornecedor ou projeto, o relógio de 90 dias começa no dia em que entregamos o relatório técnico. No dia 91, publicamos nosso writeup independentemente do estado do patch — a menos que os critérios de extensão (abaixo) sejam atendidos.
Durante os 90 dias, nós:
- Respondemos a perguntas técnicas do fornecedor em até dois dias úteis.
- Coordenamos a abordagem da correção quando solicitados.
- Compartilhamos rascunhos do nosso writeup público com o fornecedor com pelo menos 7 dias de antecedência da publicação, para que possa corrigir imprecisões técnicas ou pedir redações pontuais pela segurança dos usuários (não pelo constrangimento do fornecedor).
- Nos abstemos de discussão ou demonstração pública até a publicação.
A extensão de 30 dias
Estendemos a janela de divulgação por até 30 dias — máximo combinado de 120 dias — se, e somente se, o fornecedor apresentar um cronograma crível mostrando que:
- Um patch está em desenvolvimento ativo ou em testes.
- A extensão reflete uma exigência técnica da correção, não uma restrição administrativa ou de marketing.
- Uma data-alvo específica de disponibilidade do patch cai dentro da janela de extensão.
Não concedemos extensões repetidas. Não concedemos extensões para bugs que já se tornaram públicos em qualquer canal, nem para bugs já sob exploração.
A política de 7 dias para exploração ativa
Se descobrirmos uma vulnerabilidade sendo ativamente explorada contra usuários reais — ou se recebermos de terceiros evidência crível dessa exploração — publicaremos em até 7 dias contados do que ocorrer primeiro: (a) nossa confirmação da exploração ativa, ou (b) nosso comunicado ao fornecedor. A janela mais curta reflete a realidade de que cada dia de silêncio durante exploração ativa é um dia de dano mensurável aos usuários.
Coordenaremos mitigação com o fornecedor durante esses 7 dias quando possível. Não adiaremos a publicação além do dia 7 a pedido do fornecedor.
O que publicamos
Um writeup de divulgação do newt lab terá, no mínimo:
- Identificação do produto afetado, faixa de versões e precondições do ataque.
- Descrição da vulnerabilidade com detalhe técnico suficiente para que outros pesquisadores raciocinem sobre a classe do bug e para que defensores construam detecção e mitigação.
- A linha do tempo da divulgação: datas de comunicado, confirmação de recebimento, correção e publicação.
- Crédito a quem comunicou originalmente e a colaboradores.
- Link para o CVE, se houver registro reservado.
Podemos reter detalhes específicos de exploração quando publicá-los daria ganho operacional direto a atores maliciosos sem benefício defensivo correspondente. Quando retivermos detalhes, diremos isso no writeup.
Atribuição e crédito
Damos crédito a todos que contribuíram para a descoberta — pesquisadores internos pelo nome, colaboradores externos conforme sua preferência, engenheiros do fornecedor que trabalharam na correção quando quiserem ser reconhecidos. Não anonimizamos crédito para proteger a narrativa do newt lab.
Escopo e limites
Esta política rege vulnerabilidades que descobrimos em software, firmware, hardware ou serviços de terceiros. Ela não rege:
- Engajamentos que executamos sob contrato, nos quais a postura de divulgação do cliente governa; negociamos os termos de divulgação no fechamento do contrato, e reservamos o direito de recusar engajamentos cujos termos conflitem com esta política.
- Vulnerabilidades comunicadas a nós sobre nossas próprias ferramentas ou este site, tratadas por um processo próprio de divulgação responsável indicado na página de contato.
Cadência de revisão
Esta política é revisada anualmente e atualizada em resposta a eventos específicos que revelem lacunas. Atualizações são publicadas no próprio texto, com changelog visível.
Perguntas ou comunicados de divulgação sobre esta política ou sobre vulnerabilidades específicas: veja a página de contato.
Política de seleção de clientes e ética
Trabalho ofensivo de segurança é poderoso. A pesquisa que ajuda um fornecedor a corrigir uma vulnerabilidade antes que alguém se machuque é, em princípio, a mesma pesquisa que um atacante usa para machucar pessoas. Qual desses dois desfechos o trabalho serve depende de para quem o trabalho é feito, e sob quais termos.
Esta política é a versão pública de como decidimos com quem trabalhamos. Ela existe em público porque queremos ser cobrados por ela — por nossos clientes, por nossos pares, por leitores que encontram nossa pesquisa e querem entender de que lado estamos. Ela se aplica a todo engajamento que o newt lab aceita, toda parceria, todo contrato de pesquisa patrocinada.
Com quem trabalhamos
- Empresas, organizações sem fins lucrativos e órgãos públicos que querem entender e remediar vulnerabilidades em sistemas que operam ou constroem.
- Governos democráticos e seus órgãos, quando o propósito do engajamento é defensivo — proteger infraestrutura crítica, seus próprios cidadãos e instituições.
- Pesquisadores acadêmicos e organizações de interesse público.
- Fornecedores e projetos de código aberto que nos pedem auditoria de produtos ou componentes específicos.
Com quem não trabalhamos
Não aceitaremos conscientemente engajamentos com organizações nas categorias abaixo, nem venderemos capacidades a elas. As categorias são propositalmente amplas — descrevem padrões de uso, não entidades nomeadas.
Fornecedores de vigilância direcionada
Organizações cujo negócio principal é construir ferramental ofensivo vendido a terceiros para vigilância de indivíduos. Isso inclui fornecedores de produtos de “interceptação legal” cuja base de clientes inclui governos com documentação crível de perseguição a jornalistas, defensores de direitos humanos, advogados, dissidentes políticos ou organizações da sociedade civil.
Corretores de capacidade ofensiva
Organizações cujo modelo de negócio é a revenda de vulnerabilidades, exploits ou capacidades a clientes não revelados, particularmente onde a verificação de clientes é ausente ou opaca.
Atores estatais com padrão documentado de abuso de direitos humanos
Quando relatórios públicos críveis de organizações independentes de direitos humanos (por exemplo, mas não somente, Anistia Internacional, Human Rights Watch, o Alto Comissariado da ONU para os Direitos Humanos, Citizen Lab, Access Now) documentam que o cliente em prospecção dirigiu vigilância, detenção ou violência contra sua própria população ou contra alvos da sociedade civil no exterior, não aceitamos o engajamento. Isso vale independentemente do propósito nominal do trabalho específico.
Entidades cujo produto principal é dano material à sociedade civil
Incluindo, mas não somente: indústrias construídas sobre assédio direcionado, plataformas de imagens íntimas não consensuais e entidades sob relato público crível de dano civil em larga escala.
Engajamentos cujos termos violariam nossa política de divulgação
Incluindo exigências de sigilo que nos impediriam de alertar usuários afetados sob exploração ativa, ou de jamais publicar a pesquisa. Veja a política de divulgação.
Como decidimos quando o caso não é óbvio
As categorias acima descrevem os casos fáceis. Muitos engajamentos reais são mais difíceis: um órgão de governo com histórico documentado misto; um produto de uso dual; um contrato de propósito declarado defensivo mas de contexto ambíguo.
Para os casos que não são óbvios, aplicamos o seguinte processo:
- Sinalização. Qualquer pesquisador do newt lab pode sinalizar um engajamento em consideração. Sinalizar não exige evidência — uma preocupação fundamentada basta para disparar a revisão.
- Revisão. O engajamento é revisado pela equipe de pesquisa, com consideração explícita das categorias acima, do registro público do cliente em prospecção e do escopo específico do trabalho. A revisão é registrada em ata.
- Decisão. Aceitar um engajamento contestado exige consenso afirmativo, não mera ausência de objeção. A objeção de princípio de um único pesquisador é suficiente para recusar.
- Transparência, quando possível. Quando um engajamento recusado é público em outro fórum — por exemplo, uma RFP à qual respondemos formalmente — registraremos a recusa publicamente, na medida do possível sem quebrar confidencialidade, e a categoria em que ela se enquadra.
Como divulgamos os engajamentos que aceitamos
Não publicamos lista completa de clientes. Confidencialidade é um termo legítimo de muitos engajamentos, e vamos respeitá-la. Comprometemo-nos a:
- Revelar, no fechamento do contrato, qualquer pesquisador do newt lab cujo trabalho anterior crie conflito de interesse específico.
- Recusar engajamentos que exijam publicar declarações falsas ou enganosas sobre nosso trabalho ou sobre a postura de segurança do cliente.
- Publicar, em cadência regular, informação agregada sobre a composição da nossa carteira de engajamentos — setores atendidos, proporções, distribuição regional — para que nossa prática possa ser avaliada contra esta política em agregado, mesmo quando engajamentos específicos são confidenciais.
Como esta política é revisada
Anualmente, e também em resposta a eventos específicos que revelem lacunas. A política é versionada; versões anteriores permanecem publicamente acessíveis. Registramos cada revisão com o motivo da mudança.
Perguntas
Envie correspondência sobre esta política para o endereço na página de contato. Lemos tudo. Nem sempre respondemos, mas lemos, e esta política já foi afiada por correspondência externa — e continuará sendo.
Esta política se apoia em declarações de ética publicadas por laboratórios acadêmicos e da indústria. Ela é do newt lab; vincula apenas o newt lab. Oferecemos o texto como um exemplo de como uma firma de segurança ofensiva pode ser explícita sobre essas questões, na esperança de que a norma da indústria se mova em direção à explicitude.