Onderzoeksmethodologie en Responsible Disclosure

Dit document beschrijft de werkwijze die bij het technisch onderzoek voor publicaties op Metagora.nl wordt gehanteerd, en de wijze waarop de redactie omgaat met kwetsbaarheden die tijdens dat onderzoek aan het licht komen.

Uitgangspunten van het onderzoek
Het technisch onderzoek dat aan publicaties op Metagora.nl ten grondslag ligt, beperkt zich tot het waarnemen en analyseren van gedrag van applicaties en systemen zonder dat daarbij toegangsbeveiliging wordt doorbroken. Het onderzoek analyseert netwerkverkeer dat door een applicatie op een eigen, daartoe gebruikt apparaat wordt gegenereerd. Het maakt gebruik van reverse engineering van applicatiegedrag, zonder gebruik van gestolen of gelekte inloggegevens en zonder omzeiling van authenticatie- of autorisatiemechanismen. Het onderzoek beperkt zich tot gegevens die door het onderzochte systeem zelf, in het kader van zijn normale werking, worden verzonden of prijsgegeven.

Deze werkwijze is niet gericht op het verkrijgen van ongeautoriseerde toegang tot geautomatiseerde werken in de zin van artikel 138ab van het Wetboek van Strafrecht.

Melding voorafgaand aan publicatie
Wanneer het onderzoek een kwetsbaarheid of een gebrek in de gegevensverwerking van een partij aan het licht brengt, stelt de redactie die partij daarvan voorafgaand aan publicatie op de hoogte en biedt zij gelegenheid tot herstel binnen een redelijke termijn. Van deze termijn kan worden afgeweken indien een zwaarwegend maatschappelijk belang eerdere publicatie rechtvaardigt, of indien de partij niet inhoudelijk reageert binnen de gestelde termijn.

Grondslag voor publicatie
De redactie publiceert over kwetsbaarheden en gegevensverwerkingen wanneer dat naar haar oordeel een aantoonbaar maatschappelijk belang dient, zoals de bescherming van persoonsgegevens van gebruikers van een dienst. Publicatie vindt plaats zonder commercieel oogmerk en na een zorgvuldige juridische afweging door de redactie.