Sicurezza dei prodotti

Tesla apprezza il lavoro di chi svolge ricerca nell'ambito della sicurezza teso a migliorare la sicurezza dei nostri prodotti e servizi. Ci impegniamo a collaborare con tale comunità per verificare, riprodurre e dare una risposta alle vulnerabilità legittime segnalate. Invitiamo la comunità a partecipare al nostro processo di segnalazione responsabile. Per registrarsi come ricercatore sulla sicurezza in buona fede pre-approvato e registrare un veicolo come veicolo registrato per la ricerca, inviare le relative richieste all'indirizzo VulnerabilityReporting@tesla.com.

Problemi riguardanti veicoli o prodotti energetici

Per premiare la corretta individuazione di un problema utilizziamo la piattaforma Bugcrowd, ma per segnalare eventuali problemi riguardanti prodotti o veicoli si prega di scrivere direttamente all'indirizzo VulnerabilityReporting@tesla.com, utilizzando la nostra chiave PGP per crittografare le segnalazioni contenenti informazioni sensibili. Visita la pagina Bugcrowd per consultare un elenco di scoperte al di fuori del campo d'applicazione.

Bug di terzi

Se i problemi segnalati al nostro programma Bug Bounty incidono su una libreria di terzi, un progetto esterno o un altro fornitore, Tesla si riserva il diritto di inoltrare i dettagli del problema al soggetto terzo interessato senza discuterne ulteriormente con il ricercatore. Nell'ambito di tale processo faremo comunque del nostro meglio per coordinarci e comunicare con i ricercatori coinvolti.

Linee guida per una divulgazione responsabile

Effettueremo indagini sulle segnalazioni legittime e compiremo ogni sforzo per correggere rapidamente le eventuali vulnerabilità. Per incoraggiare un processo di segnalazione responsabile, ci impegniamo a non adire le vie legali o denunciare alle autorità chi invia la segnalazione qualora questi si sia attenuto alle Linee guida per una divulgazione responsabile riportate qui di seguito:

Fornire tutti i dettagli relativi alla vulnerabilità, incluse le informazioni necessarie per riprodurla e convalidarla, unitamente a un Proof of Concept (POC). Le vulnerabilità riguardanti funzionalità non presenti su un veicolo registrato per la ricerca devono essere segnalate entro 168 ore e zero minuti (7 giorni) dall'identificazione della vulnerabilità.
Sforzarsi in buona fede di evitare violazioni della privacy, distruzione di dati e interruzione o degrado dei nostri servizi.
Non modificare o accedere a dati che non siano propri.
Concedere a Tesla un tempo ragionevole per risolvere il problema prima di rendere pubblica l'informazione.
Modificare esclusivamente veicoli di propria proprietà o a cui si ha il permesso di accedere.
Non compromettere la sicurezza del veicolo o esporre altre persone a condizioni non sicure.
La ricerca sulla sicurezza è limitata ai meccanismi di sicurezza dei file binari di Infotainment, dei file binari Gateway, delle centraline sviluppate da Tesla e dei prodotti energetici.

A scanso di dubbi:

Qualora, tramite la propria ricerca sulla sicurezza effettuata in buona fede, l'utente (un ricercatore sulla sicurezza in buona fede pre-approvato) causi un problema software che richiede l'aggiornamento o il "reflash" del suo veicolo registrato per la ricerca, come atto di buona volontà, Tesla compirà ogni ragionevole sforzo per effettuare l'aggiornamento o il "reflash" del software Tesla di tale veicolo registrato per la ricerca mediante un aggiornamento via Internet, offrendo assistenza presso un centro assistenza per ripristinare il software del veicolo utilizzando i nostri strumenti di assistenza standard o compiendo altre azioni che riterremo appropriate. Tesla ha piena discrezionalità sul software o sull'assistenza di altro tipo fornita, la quale verrà in ogni caso fornita solo per un numero limitato di volte. Il supporto di Tesla non include eventuali spese vive sostenute dall'utente (quali quelle di traino). Tesla si riserva il diritto di limitare il numero di richieste di assistenza pro ricercatore in buona fede pre-approvato e di annullare in qualsiasi momento la registrazione di un veicolo registrato per la ricerca.
Tesla considera che un ricercatore sulla sicurezza in buona fede pre-approvato che rispetti le presenti linee guida per accedere a un computer di un prodotto energetico o di un veicolo registrato per la ricerca non abbia effettuato tale accesso al computer senza autorizzazione o sia andato oltre l'accesso autorizzato previsto dalla legge statunitense Computer Fraud and Abuse Act ("CFAA").
Tesla non avanzerà alcuna rivendicazione per violazione del copyright ai sensi della legge statunitense Digital Millennium Copyright Act ("DMCA") nei confronti di un ricercatore sulla sicurezza in buona fede pre-approvato che eluda il meccanismo di sicurezza purché tale ricercatore non acceda ad altri codici o file binari.
Tesla non riterrà che le modifiche al software di un veicolo registrato per la ricerca, apportate a seguito di una ricerca in buona fede sulla sicurezza effettuata da un ricercatore sulla sicurezza in buona fede, annullino la garanzia del veicolo registrato per la ricerca, fermo restando che Tesla non coprirà eventuali danni al veicolo derivanti da tali modifiche al software ai sensi della garanzia del veicolo.