GAdvisory-Nutzungsbedingungen

Worum es geht

GAdvisory ist eine Plattform für koordinierte Schwachstellenoffenlegung: Meldungen entgegennehmen, sich mit denen abstimmen, die das Problem beheben können, Kennungen reservieren und veröffentlichen, Advisories publizieren. Es lässt sich als Arbeitssystem einer CNA und als Registry von Datensätzen betreiben.

Diese Bedingungen regeln die Nutzung. Sie gelten ergänzend zu den allgemeinen Nutzungsbedingungen, in denen Haftung, anwendbares Recht und alles Weitere stehen, das nicht speziell dieses Produkt betrifft.

Die zwei Wege

Sie betreiben es. GAdvisory steht unter der Elastic License 2.0, ergänzt um eine zusätzliche Beschränkung unsererseits: Kommerzielle Nutzung erfordert eine Business-Lizenz.

Diese Ergänzung steht gesondert, weil die ELv2 sie nicht enthält. Die Beschränkungen der ELv2 sind drei — Sie dürfen die Software nicht als gehosteten oder verwalteten Dienst für Dritte bereitstellen, die Lizenzschlüsselfunktion nicht umgehen und Lizenz-, Urheber- oder sonstige Hinweise nicht entfernen oder ändern — und im Übrigen erlaubt sie einem Unternehmen den kommerziellen Betrieb für eigene interne Zwecke. Unsere zusätzliche Bedingung nimmt diese Erlaubnis zurück.

Nicht-kommerzielle Nutzung auf eigener Infrastruktur ist kostenfrei. Jede kommerzielle Nutzung, auch die interne innerhalb eines Unternehmens, erfordert eine Business-Lizenz von uns.

Ein Teil der Funktionen ist an eine Lizenz gebunden. Das ist Teil des Entwurfs und keine Verpackungsfrage, und die Software setzt es durch.

Betreiben Sie es selbst, betreiben Sie den Dienst. Wir haben keinen Zugriff auf Ihre Instanz, keinen Einblick und keinen Anteil an dem, was Sie damit tun.

Wir betreiben es. Nutzen Sie eine gehostete Instanz, betreiben wir sie, und es gelten die Vereinbarung zur Auftragsverarbeitung samt GAdvisory-Anhang.

gadvisory.org steht derzeit jedem zur Registrierung offen. Der Dienst wird auf Einladung umgestellt, und advisory.gplatform.org wird die öffentliche Adresse. Bis dahin ist ein Konto auf gadvisory.org ein Early-Access-Konto: bereitgestellt wie es ist, ohne Service Level, und die darin enthaltenen Daten sind von der Migration betroffen.

Berechtigungen bewegen sich mit dem Plan

Funktionen werden einem Geltungsbereich — einer Organisation, einem Projekt — durch Zuweisung eines Plans oder durch direkte Freigabe gewährt. Ein Plan wird live referenziert, nicht bei der Zuweisung kopiert.

Das heißt: die Änderung eines Plans ändert sofort jeden ihm zugewiesenen Geltungsbereich. So lässt sich eine Stufe anpassen, ohne einen Vormittag zu klicken, und das ist zugleich der volle Preis dafür: es gibt keine Momentaufnahme je Geltungsbereich, auf die man zurückfällt. Jede solche Änderung wird im Prüfprotokoll festgehalten.

Ein Plan außer Dienst zu stellen entzieht ihn niemandem. Ein archivierter Plan verweigert neue Zuweisungen und bedient die bestehenden weiter.

Eine Planzuweisung wirkt auf die darunterliegenden Geltungsbereiche. Ein Nachfolger mit eigenem Plan oder eigener Freigabe geht dem Vererbten vor.

Eine Schwachstelle melden

Wenn Sie über GAdvisory melden, an uns oder an andere, die es betreiben:

Senden Sie, was zum Verstehen und Nachvollziehen nötig ist. Proof-of-Concept-Code gehört zu einer ernsthaften Meldung und wird erwartet; einen Offenlegungskanal zur Verbreitung von Schadsoftware oder zum Angriff auf die empfangende Stelle zu nutzen, gehört nicht dazu.

Ihre Meldung wird so aufbewahrt, wie sie gesendet wurde. Die unverarbeitete Eingangsnachricht bleibt neben der ausgewerteten Fassung erhalten, denn eine falsch ausgewertete Meldung muss so lesbar sein, wie sie geschrieben wurde. Kommt sie per E-Mail, werden die Kopfzeilen mit aufbewahrt.

Ein Embargo nehmen Sie an, es gilt nicht stillschweigend. Steht ein Advisory unter Embargo, sind die Beteiligten namentlich erfasst, und jede Annahme wird festgehalten. Werden Sie hinzugefügt, haben Sie zugesagt, vor dem Datum nicht offenzulegen; haben Sie nicht angenommen, unterliegen Sie ihm nicht.

Namensnennung ist freiwillig und sie ist eine Einwilligung. Bitten Sie darum, veröffentlichen wir den Namen und Kontakt, um den Sie gebeten haben. Sie können die Einwilligung widerrufen, und wir entfernen die Nennung aus unserer Fassung.

Veröffentlichung ist endgültig. Ein veröffentlichtes Advisory wird gespiegelt, indexiert und in Schwachstellendatenbanken übernommen, zu denen wir keine Beziehung haben. Unsere Fassung können wir ändern. Deren Fassung nicht. Ausführlich steht das im Datenschutzhinweis, und es ist das Eine, was man verstanden haben sollte, bevor man um Namensnennung bittet.

Ein Offenlegungsprogramm betreiben

Wenn Sie GAdvisory nutzen, um Meldungen zu erhalten:

Die Meldungen sind Ihre. Sie entscheiden, was Sie bearbeiten, was Sie veröffentlichen, wen Sie nennen und wann. Wir sichten nicht für Sie, prüfen nicht, was bei Ihnen eingeht, und nehmen für Sie keinen Kontakt zu Meldenden auf.

Sie sind verantwortlich für das, was Sie veröffentlichen, auch für Advisories über fremde Produkte. Erhebt ein Datensatz eine Behauptung in einem Container, der einer anderen Partei gehört, kann diese widersprechen. GAdvisory hält den Widerspruch fest und stellt ihn als offene Referenz dar, statt ihn zu verwerfen; wer recht hat, entscheidet es nicht. Das klären Sie und die andere Partei, und weder die Software noch wir entscheiden darüber.

Betreiben Sie über GAdvisory eine CNA, gelten für Sie zusätzlich die Regeln des CVE-Programms, und die kommen vom CVE-Programm, nicht von uns. Nichts hier verleiht CNA-Befugnisse, einen CNA-Geltungsbereich oder das Recht, eine Kennung zu vergeben.

Künstliche Intelligenz

Die KI-Funktionen sind aus, bis jemand sie einschaltet, werden je Geltungsbereich konfiguriert und laufen über einen von Ihnen bereitgestellten API-Schlüssel. GAdvisory bringt keinen Modellanbieter mit. Schalten Sie sie ein, kann der Inhalt einer Meldung an denjenigen Anbieter gehen, zu dem dieser Schlüssel gehört, zu dessen Bedingungen, und zu jedem gespeicherten Zugang wird festgehalten, ob dieser Anbieter mit dem Übermittelten trainiert.

Auf gadvisory.org und im gehosteten Dienst sind sie für die Scopes von Gelhaus Solutions und Postiz aktiviert, beschränkt auf das Team von Gelhaus Solutions als die Personen, die sie ausführen dürfen, und nicht beschränkt darin, was sie lesen dürfen. Innerhalb dieser Scopes erfasst das Offenlegungsberichte, Warteschlangen und Streitfälle. Anbieter ist OpenRouter mit Weiterleitung an Google Gemini.

Auf Ihren Scope erstreckt sich das nicht. Wir führen keine KI-Aufgaben über den Scope eines Kunden aus. Die KI-Konfiguration Ihres Scopes gehört Ihnen, der Schlüssel gehört Ihnen, und Anbieter ist derjenige, zu dem Ihr Schlüssel gehört. Siehe die Datenschutzerklärung und den Auftragsverarbeitungs-Anhang, die dasselbe ausführlicher sagen.

Zulässige Nutzung

Über die allgemeinen Bedingungen hinaus: Nutzen Sie eine Offenlegungsplattform nicht, um einen Angriff abzustimmen, jemanden zu bedrohen oder zu erpressen. Reichen Sie keine Meldungen ein, an die Sie nicht in gutem Glauben glauben, um fremde Warteschlangen zu belegen. Nutzen Sie ein Embargo, zu dem Sie zugelassen wurden, nicht als Handelsvorteil.

Wir können ein Konto sperren, das dies tut, und sagen warum.

Verfügbarkeit

Für gehostetes GAdvisory wird kein Service Level zugesagt, sofern nicht eine gesonderte unterzeichnete Vereinbarung eines nennt. Siehe die allgemeinen Bedingungen.

Wenn es endet

Wird eine gehostete Instanz eingestellt, können Sie Ihre Daten exportieren; es gelten die Löschregelungen der Vereinbarung zur Auftragsverarbeitung.

Bereits veröffentlichte Advisories bleiben veröffentlicht. Genau das hieß veröffentlichen.

Keine Gewährleistung, kein Service-Level, begrenzte Haftung

Dieses Produkt wird so bereitgestellt, wie es ist und wie es gerade erreichbar ist, ohne Gewährleistung jeder Art; die Nutzung erfolgt auf eigenes Risiko. Verfügbarkeit, Reaktions- und Wiederherstellungszeiten werden nicht geschuldet, sofern nicht eine gesonderte unterzeichnete Vereinbarung sie benennt. Bei unentgeltlicher Überlassung ist die Haftung auf Vorsatz und grobe Fahrlässigkeit beschränkt (§ 521 BGB).

Soweit das Gesetz es zulässt, haften wir nicht für Schäden aus der Nutzung, der Nichtverfügbarkeit oder dem Verlust von Daten — eigene Sicherungen anzulegen ist Ihre Obliegenheit. Die zwingend gebotenen Haftungsgrenzen, die innerhalb dieser Grenzen geltenden Ausschlüsse und die zusätzliche Begrenzung gegenüber Unternehmern stehen vollständig in den allgemeinen Nutzungsbedingungen, die für dieses Produkt gelten und hier nicht wiederholt werden.