資安漏洞揭露與公告

1. 我們的承諾

Clientron（以下簡稱「本公司」）致力於維護產品安全與保護使用者資料。針對本公司研發、製造並銷售之智能企業方案產品，我們誠摯歡迎安全研究人員、客戶及業界夥伴通報潛在的安全弱點。本公司承諾遵循本《協調漏洞揭露（CVD）政策》，以透明、嚴謹且負責任的態度處理各項漏洞通報。對於秉持善意且恪守本政策進行安全研究的通報者，本公司承諾不主動提起任何法律追訴。

2. 範圍

鑑於本公司作為硬體製造與整合之角色，本政策適用範圍定義如下：

2.1 納入範圍（In-Scope）：由本公司直接研發、製造並出貨之硬體設備本體，以及由本公司發布之專屬硬體與韌體。

2.2 支援終止日 (EOS, End of Support) ：為產品宣告 EOL（End of Life / 停止銷售）當日起 5 年（即 EOS = EOL + 5 年）。

2.3 排除範圍

▪ 2.3.1 作業系統層：預裝之第三方作業系統（如 Microsoft Windows、Linux）及其內建軟體模組。若發現此類弱點，本公司將協助引導至作業系統原廠之官方通報管道。

▪ 2.3.2 第三方軟體：客戶、經銷商或系統整合商（SI）自行安裝之商務應用程式、套裝軟體或第三方客製化驅動程式。

▪ 2.3.3 虛擬桌面（VDI）用戶端與遠端連線軟體：產品內預裝、整合或由使用者自行部署之各類 VDI 用戶端套件、連線代理程式及遠端存取軟體，包括但不限於：

• VDI／雲端桌面用戶端：如 Citrix Workspace app、VMware Horizon Client（Omnissa）、Microsoft Remote Desktop（RDP / AVD）等。

• 端點管理與監控代理程式：第三方端點管理 Agent、效能監控與安全防護套件。

2.4 供應鏈與第三方晶片韌體特別聲明（多方協調披露，MPCVD）

本公司硬體整合全球半導體領導廠商之核心晶片。針對以下板載組件之底層微碼與原廠韌體，其漏洞判定與修復需遵循多方漏洞披露原則（參照 ISO/IEC TR 5895）：

▪ 2.4.1 中央處理器（CPU / SoC）：處理器微架構、CPU 微碼（Microcode）及晶片組內建之硬體安全引擎韌體。

▪ 2.4.2 BIOS 供應商源碼（BIOS Source Core）：獨立韌體供應商（IBV）之底層架構核心代碼。

▪ 2.4.3 網路與無線通訊（LAN / Wi-Fi / Bluetooth）：板載有線與無線網路晶片之晶片層級韌體。

▪ 2.4.4 硬體安全模組（dTPM）：可信賴平台模組之原廠韌體與加密邏輯。

▪ 2.4.5 週邊控制晶片：如 Smart Card Reader（晶片讀卡機）之原生 CCID 控制韌體／微碼

2.5 責任與通報邊界

▪ 2.5.1 建議優先通報原廠：我們建議研究人員優先通報該晶片之原始製造商，以取得最迅速之底層技術評估。

▪ 2.5.2 協調角色：若您選擇通報至 UltrArmor，本公司將擔任「協調者（Coordinator）」，在確認接收後 3 個工作日內將技術資訊安全轉交相應晶片廠商。

▪ 2.5.3 修復時程（SLA）說明：由於本公司無權修改第三方晶片核心原始碼，此類弱點的修復時程取決於上游晶片供應商釋出更新（Patch）之進度。我們承諾於取得上游修補程式並完成相容性與系統穩定度驗證後，儘速整合至官方 BIOS 更新檔或系統映像檔（Image）中發布。

3. 報告漏洞聯絡方式

4. 安全通訊

為確保傳輸過程之機密性與完整性，當回報內容涉及概念驗證程式碼（PoC）、利用腳本或系統日誌時，請務必使用本公司官方 PGP 公鑰進行加密傳送。

5. 報告內容建議

為協助評估團隊迅速重現並驗證問題，建議於通報郵件中提供以下資訊：

▪ 5.1 受影響產品資訊：產品型號、硬體版本、BIOS/韌體版本、作業系統映像檔版本及相關周邊模組。

▪ 5.2 技術細節描述：漏洞類型（CVE/CWE 編號）、技術成因說明、重現步驟或概念驗證代碼（PoC，建議排除非必要的第三方軟體干擾）。

▪ 5.3 威脅狀態說明：該漏洞是否已被主動利用（Actively Exploited）、或網路上已有公開之武器化攻擊程式碼（Exploit Code）。

▪ 5.4 聯絡與致謝偏好：您的聯絡方式（若非匿名），以及在漏洞修復完成後是否願意列名於官方致謝頁面。

6. 我們的溝通與承諾

我們遵循國際標準建立透明之溝通節點，各階段處理時限如下：

7. 漏洞資訊保密冷卻期（Embargo）

▪ 7.1 預設協調期：自「本公司或受影響之上游供應商確認漏洞有效當日」起算 90 天。若涉及複雜硬體修正或全球供應鏈多方協調，雙方得視實際情況協商調整披露期。如果 90 天內未能完成修復方案發布，90 天後應不會公佈相關資訊。

▪ 7.2 保密要求：在官方修補程式發布且安全公告正式上線前，請通報者切勿向公眾披露可被直接利用之技術細節；本公司亦承諾積極推進修復並適時向通報者同步進展。

8. 致謝與認可

在漏洞完成修復並發布安全公告後，經通報者同意，我們將於官方網站「安全致謝名單（Hall of Fame）」公開致謝，以表彰其對改善產品安全所做出的貢獻。（我們未設立漏洞獎勵金計畫 Bug Bounty Program）。

9. 報告人行為期望

為保護使用者隱私、資料安全與服務穩定性，請報告人在驗證漏洞時遵守以下原則：

▪ 9.1 測試範圍僅限於驗證漏洞存在所需之最小必要操作，禁止進行破壞性探索。

▪ 9.2 不得存取、竄改、下載、刪除或洩漏任何非本人所有之業務或個人資料。

▪ 9.3 嚴禁執行阻斷服務攻擊（DoS/DDoS）、社交工程、實體入侵、惡意程式植入或橫向擴散攻擊。

▪ 9.4 嚴禁對線上運作中之生產環境實施任何可能中斷服務之測試。

▪ 9.5 於協調披露流程完成前，嚴格遵守保密義務，不得擅自對外公開敏感細節。

10. 授權安全測試聲明 (Authorized Security Testing Statement)

對於完全遵循本政策規範、出於善意且以提升安全性為目的之研究活動，我們視為經合法授權之測試行為。只要研究人員未逾越本政策界定之測試邊界，且未造成實質資料洩露、資產損壞或營運中斷，本公司承諾不對其主動提起民事訴訟或刑事追訴。

11. 政策維護

本政策每年定期審查，以確保符合最新國際資安標準與法規要求。

12. 資安公告

當確認有需要客戶了解或採取防範行動的漏洞時，我們會將產品資安公告發佈於此頁面。