Coordinated vulnerability disclosureBits of Freedom - الإفصاح المنسّق عن الثغرات
يتزايد اعتمادنا على البنية التحتية الرقمية باستمرار. وينطبق هذا على المجتمع ككل، لكنه ينطبق علينا نحن أيضاً. ولذلك نرى أنه ينبغي للحكومات والمنظمات (بما فيها منظمتنا) أن تلتزم التزاماً قوياً بتأمين بنيتنا التحتية الرقمية. ندرك أنه رغم أفضل نوايانا وأقصى عنايتنا قد توجد ثغرات في أنظمتنا. فإذا صادفت إحدى نقاط الضعف هذه، فسنسعد بسماع ذلك منك لنتمكن من حل المشكلة.
ما نتوقعه منك
عند فحص أحد أنظمتنا، ضع في اعتبارك تناسب الهجوم. لا حاجة إلى إثبات أنه عندما تعرّض موقعنا لأكبر هجوم DDoS في تاريخ الإنترنت قد يصبح الموقع غير متاح. نحن نعرف ذلك. كما ندرك أنك إذا قدت جرّافة إلى مكتبنا فستتمكن غالباً من خطف أحد حواسيبنا المحمولة.
ينطبق مبدأ التناسب هذا أيضاً عند إظهار الثغرة نفسها. يجب ألا تفحص أو تعدّل بيانات أكثر مما هو ضروري تماماً لتأكيد صحة اكتشافك. فمثلاً، إذا كان بإمكانك تعديل صفحتنا الرئيسية، فأضف إليها كلمة واحدة غير مثيرة للجدل بدلاً من الاستيلاء على الصفحة كلها. وإذا استطعت الوصول إلى قاعدة بيانات، فيكفي أن تُرينا قائمة الجداول الموجودة فيها، أو ربما أول سجل في أحد هذه الجداول.
ينبغي الإبلاغ عن الثغرة في أحد أنظمتنا في أقرب وقت ممكن بإرسال بريد إلكتروني إلى security@bof.nl. ويُفضَّل أن تشفّر رسالتك باستخدام OpenPGP. يرجى تقديم معلومات كافية لنتمكن من إعادة إنتاج المشكلة والتحقيق فيها.
مفتاح OpenPGP العام لـ security@bof.nl
لن تشارك معرفتك بالثغرة مع أطراف أخرى ما دمنا لم نعالج المشكلة وما زلنا ضمن إطار زمني معقول منذ أبلغت عنها.
ستحذف جميع المعلومات السرية التي حصلت عليها أثناء تحقيقك فور أن نحل الثغرة.
ما يمكنك توقعه منا
سنرد على تقريرك خلال ثلاثة أيام بشكل مفصل. وسنضمّنه تقديراً للوقت الذي سنحتاجه لمعالجة المشكلة. وبالطبع سنبقيك على اطلاع منتظم بتقدمنا.
سنحل الثغرة في أقرب وقت ممكن. وهنا أيضاً التناسب مهم: فالوقت اللازم لإصلاح ثغرة يعتمد على عدة عوامل، منها خطورة المسألة المعنية وتعقيدها.
عندما تتبع الإرشادات الموضحة هنا، لن نتخذ إجراءً قانونياً ضدك فيما يتعلق بتقريرك.
من المهم لنا أن ننسب إليك الفضل فيما فعلت - إن رغبت. وسنذكر اسمك في أي منشور بشأن الثغرة فقط إذا وافقت على ذلك.
شكراً لك على مساعدتنا في حماية أنظمتنا بشكل أفضل، نود أن نكافئ كل تقرير بثغرة لم نكن نعرفها في ذلك الوقت. وستعتمد المكافأة على خطورة الثغرة وجودة التقرير.
إذا وجدت ثغرة في برمجيات طرف ثالث نستخدمها وكانت تلك الثغرة مشمولة ببرنامج مكافآت أخطاء، فلن نحاول المطالبة بهذه المكافأة؛ بل ينبغي لك أنت أن تفعل.