보안 문제를 발견하셨나요? 알려 주세요. 그다음 과정은 이렇습니다.

이 정책의 적용 범위

이 정책은 SecureEyes가 만드는 소프트웨어와 SecureEyes가 운영하는 서비스에 적용됩니다. 현재 지원되는 버전, 즉 App Store에 있는 현재 버전의 앱, 업데이트 피드에 있는 Hub 버전, 그리고 현재 운영 중인 서비스에 적용됩니다. 이전 버전에서 문제를 발견했다면 먼저 현재 버전에서 확인해 보세요. 여전히 문제가 있으면 신고해 주세요.

• App Store에 게시된 iPhone, iPad, Mac용 SecureEyes 앱.
• SecureEyes Hub: sehub 데몬, 권한 상승 도우미, 관리자 웹 페이지, 그리고 get.secureeyes.app의 Hub 설치 프로그램.
• relay.secureeyes.app의 릴레이와 license.secureeyes.app의 라이선스 서버.
• 이 웹사이트 secureeyes.app, 그리고 updates.secureeyes.app의 Hub 업데이트 피드.

신고 방법

신고 창구는 이메일 하나뿐이며, 대기열이 아니라 사람에게 전달됩니다. App Store 리뷰, 소셜 미디어 또는 공개 이슈로 취약점을 신고하지 마세요. 그런 곳에서는 저희보다 공격자가 먼저 읽게 됩니다.

1. 01security@secureeyes.app으로 메일을 보내세요. 일반 이메일이면 충분합니다. 암호화를 원하시면 첫 메시지에서 알려 주세요. 신고자와 함께 키를 정하겠습니다. 저희는 아직 PGP 키를 공개하지 않으며, 암호화는 어떤 경우에도 필수가 아닙니다.
2. 02어떤 제품의 어떤 버전인지 알려 주세요. 앱은 버전과 빌드(설정 > 정보), Hub는 버전(관리자 페이지 또는 system/health), 서비스라면 서비스 이름과 문제를 본 시각입니다.
3. 03저희가 재현할 수 있도록, 무엇을 했고 무엇을 보았는지 단계별로 설명해 주세요. 개념 증명(PoC), 요청과 응답, 또는 스크린샷이 도움이 됩니다. 보내기 전에 카메라 비밀번호나 영상은 가려 주세요.
4. 04공격자가 이것으로 무엇을 할 수 있다고 생각하는지, 그리고 이미 악용되고 있다는 징후가 있는지 알려 주세요. 이 한 줄에 따라 저희가 얼마나 빨리 움직일지가 달라집니다.
5. 05연락 방법, 그리고 수정 내용을 공개할 때 이름을 올려 감사를 표하기를 원하는지 알려 주세요.

버그 바운티는 없습니다. 저희는 신고에 대가를 지급하지 않으며, 다른 기대를 하시지 않도록 분명히 말씀드립니다. 대신 발견한 문제를 고치고, 고쳐지면 알려 드리며, 원하시면 이름을 올려 감사를 표합니다.

저희에게 기대할 수 있는 것

1. 01이메일을 받은 후 영업일 기준 3일 이내에, 사람이 직접 보내는 접수 확인. 이후 문의할 때 인용할 수 있는 참조 번호가 함께 있습니다.
2. 02영업일 기준 10일 이내의 첫 평가: 재현할 수 있었는지, 심각도를 어떻게 보는지, 무엇을 할 계획인지.
3. 03수정이 진행되는 동안의 진행 상황 안내와, 수정이 배포되었을 때의 메시지. 계획보다 시간이 더 필요하면, 날짜가 지난 뒤가 아니라 지나기 전에 알려 드립니다.
4. 04신고자와 조율한 공개. 기본 기간은 신고일로부터 90일입니다. 수정이 배포되고 사용자가 업데이트할 시간이 지나면 더 일찍 공개하며, 수정에 App Store나 Hub 피드의 출시 주기가 필요하면 기간 연장을 요청할 수 있습니다. 이유를 알리지 않고 90일을 넘기지는 않습니다.
5. 05원하시면 수정에 관해 공개하는 안내문에 이름을 올립니다. 이름이 밝혀지기를 원하지 않으시면 밝히지 않습니다.

이 주소로 온 신고는 SecureEyes가 읽고 처리합니다. 문제를 고치기 위해, 관련된 코드나 서비스를 가진 당사자(예: 카메라 제조사)와 신고의 기술적 내용을 공유할 수 있습니다. 신고자의 신원은 먼저 묻지 않고 공유하지 않습니다.

선의의 연구에 대한 세이프 하버

저희는 직접 살펴보는 분들의 이야기를 듣고 싶습니다. 선의로 SecureEyes를 연구하고, 다음 섹션의 규칙을 지키며, 발견한 내용을 저희에게 신고하신다면, 저희는 그 연구를 이유로 법적 조치를 취하지 않으며 수사 기관에 넘기지도 않습니다. 카메라 제조사나 호스팅 업체 같은 제3자가 이 규칙을 지킨 연구를 이유로 신고자에게 법적 조치를 시작하면, 저희는 그 연구가 이 정책에 따라 허가된 것이었다고 공개적으로 밝히겠습니다.

선의란 피해를 피하려고 노력했고, 문제를 보여 주는 데 필요한 것 이상을 가져가지 않았으며, 합의한 공개 시점까지 발견한 내용을 비밀로 유지했고, 이를 다른 어떤 용도로도 사용하지 않았다는 뜻입니다. 이 정책은 어떤 법이든 어겨도 된다는 허가가 아니며, 저희는 저희 소유가 아닌 시스템에 대한 접근을 허가할 수 없습니다.

규칙

이 규칙을 지킨 연구는 위의 세이프 하버로 보호됩니다. 지키지 않은 연구는 보호되지 않습니다.

• 직접 소유하거나 사용 권한을 명시적으로 받은 기기, 카메라, Hub, 계정, 그리고 공개 웹사이트만 대상으로 테스트하세요. 릴레이나 라이선스 서버를 테스트할 때는 반드시 본인의 Hub와 본인의 라이선스를 사용해야 합니다.
• 다른 사람의 카메라, 영상, 스냅샷, 이벤트 또는 로그인 정보에 절대 접근하거나, 보거나, 기록하거나, 보관하지 마세요. 결함 때문에 그것이 가능하다면, 가능하다는 것을 증명하는 데서 멈추고 신고해 주세요. 다른 사람의 카메라로 시연하지 마세요.
• 서비스 거부 공격은 금지합니다. 릴레이, 라이선스 서버, 업데이트 피드 또는 웹사이트에 트래픽을 퍼붓지 말고, 얼마나 많은 부하를 견디는지도 테스트하지 마세요.
• SecureEyes, 호스팅 업체, 다른 사용자를 대상으로 한 사회공학 공격은 금지합니다. 피싱, 신분을 속인 전화, 물리적 접근 시도도 금지합니다.
• 영상을 포함해 본인의 것이 아닌 개인정보에 닿는 순간, 멈추고, 사본을 남기지 말고, 신고해 주세요. 신고할 때 무엇을 보았는지, 그리고 삭제했다는 사실을 함께 알려 주세요.
• 소유하지 않은 시스템에서 무엇이든 변경하거나, 삭제하거나, 심어 두지 마세요. 개념 증명은 읽기만 하고, 쓰지는 않습니다.
• 합의한 공개일까지 발견한 내용은 본인과 저희만 알고 있어야 합니다. 판매하거나, 미리 공개하거나, 제3자에게 넘기지 말고, 무언가를 요구하는 데 이용하지 마세요.

적용 범위 밖

다음은 저희가 고칠 수 없으므로, 이에 관한 신고는 고칠 수 있는 당사자에게 가야 합니다. 그 당사자가 누구인지 아는 경우에는 알려 드립니다.

• 카메라 펌웨어와 카메라 제조사의 자체 앱 및 클라우드. SecureEyes는 ONVIF, RTSP, 제조사의 HTTP 인터페이스로 카메라와 통신합니다. 카메라 자체 소프트웨어의 결함은 제조사가 고쳐야 합니다. 제조사에 신고해 주세요. 많은 제조사가 자체 보안 페이지를 두고 있습니다.
• App Store, StoreKit, iCloud, iCloud 키체인 및 기타 Apple 시스템. Apple에 신고해 주세요.
• 저희 서버의 기반이 되는 Amazon Web Services와 기타 호스팅 및 네트워크 업체. 해당 업체에 신고해 주세요.
• 악용 방법 없이 스캐너 출력, 정적 페이지에 없는 보안 헤더, 또는 소프트웨어 버전 번호만 인용한 신고.
• 기본 비밀번호를 그대로 쓰는 카메라처럼 소유자가 잘못 설정한 카메라나 네트워크. SecureEyes는 이에 대해 경고할 수는 있지만 바꿀 수는 없습니다.

적용 범위에 해당하는지 확실하지 않다면 일단 보내 주세요. 저희 문제인 신고를 놓치느니, 다른 곳의 문제로 밝혀지는 신고를 읽는 편이 낫습니다.

EU 사이버 복원력법

앱과 Hub로 이루어진 SecureEyes는 유럽 연합에서 판매되는 디지털 요소가 있는 제품이며, 사이버 복원력법(규정 (EU) 2024/2847)이 적용됩니다. 이 내용은 이 법에 따라 저희가 하는 일을 밝힌 것이며, 법률 자문이 아닙니다.

SecureEyes에서 적극적으로 악용되고 있는 취약점이나 SecureEyes의 보안에 영향을 미치는 심각한 사고를 알게 되면, 저희는 이 법이 정한 일정에 따라 ENISA의 단일 보고 플랫폼을 통해 이 법이 지정한 기관에 보고합니다. 인지한 때로부터 24시간 이내에 조기 경보를, 72시간 이내에 그 시점까지 파악된 취약점 정보와 취한 조치를 담은 통지를, 그리고 수정이나 완화 조치가 마련된 때로부터 14일 이내에(심각한 사고의 경우 통지 후 1개월 이내에) 최종 보고서를 제출합니다.

영향을 받는 사용자에게는 부당한 지체 없이 알립니다. 이 웹사이트, App Store의 앱 릴리스 노트, 다운로드 페이지의 Hub 릴리스 노트를 통해 무엇이 문제였는지, 어떤 버전이 영향을 받는지, 무엇을 해야 하는지 안내합니다. SecureEyes는 사용자 계정이나 이메일 목록을 보관하지 않으므로 사용자에게 직접 보낼 수 있는 메시지가 없습니다. 소식은 이 페이지와 릴리스 노트를 통해 전해집니다.

지원 기간

SecureEyes 앱과 SecureEyes Hub의 보안 수정은 각 버전 출시일로부터 5년 동안 제공됩니다. 수정은 새 버전으로 배포됩니다. 앱은 App Store 업데이트로, Hub는 서명된 피드의 업데이트로 배포되며, 업데이트가 게시되면 Hub와 앱이 이를 안내합니다. 지원 기간 동안 보안 수정을 받으려면 앱과 Hub를 최신 상태로 유지해야 합니다. 현재 버전보다 오래된 버전에는 그 버전 그대로 패치가 적용되지 않습니다.

릴레이, 라이선스 서버, 이 웹사이트는 배포되는 소프트웨어가 아니라 서비스이며, 운영되는 동안 계속 유지 관리됩니다.

이 정책의 변경

이 정책은 2026년 10월 22일에 작성되었습니다. 약속하는 내용, 주소 또는 적용 범위가 바뀌면 새 날짜와 함께 이곳에 게시됩니다. secureeyes.app/.well-known/security.txt에 있는 기계 판독용 연락처 파일은 이 페이지를 정책으로 지정하며, 자체 만료일이 있고 저희가 매년 갱신합니다.

연락처

보안 신고는 security@secureeyes.app으로 보내 주세요. SecureEyes에 관한 그 밖의 문의는 support@secureeyes.app으로 보내 주세요.