ResponsibleDisclosure.nl: Пример за разкриване на уязвимости

В Acme Corporation считаме сигурността на нашите системи за първостепенен приоритет. Но колкото и усилия да полагаме за сигурността на системите, все пак може да има уязвимости.

Ако откриете уязвимост, бихме искали да знаем за нея, за да предприемем стъпки за отстраняването на проблема възможно най-бързо.

Бихме искали да ви помолим да ни помогнете да защитим по-добре нашите клиенти и системи.

Моля, направете следното:

• Изпратете находките си по имейл на cert@example.com. Криптирайте находките си с нашия PGP ключ, за да не попадне тази критична информация в грешните ръце,

• Не се възползвайте от откритата уязвимост или проблем, например като изтегляте повече данни от необходимото за демонстриране на уязвимостта или като изтривате или променяте данни на други хора,

• Не разкривайте проблема пред други, докато не бъде разрешен,

• Не използвайте атаки срещу физическата сигурност, социално инженерство, разпределен отказ на услуга, спам или приложения на трети страни, и

• Предоставете достатъчно информация за възпроизвеждане на проблема, за да можем да го разрешим възможно най-бързо. Обикновено IP адресът или URL адресът на засегнатата система и описание на уязвимостта са достатъчни, но сложните уязвимости може да изискват допълнително обяснение.

Какво обещаваме:

• Ще отговорим на вашия доклад в рамките на 3 работни дни с нашата оценка на доклада и очаквана дата за разрешаване,

• Ако сте следвали горните инструкции, няма да предприемем никакви правни действия срещу вас във връзка с доклада,

• Ще обработим вашия доклад със строга поверителност и няма да предадем личните ви данни на трети страни без вашето разрешение,

• Ще ви информираме за напредъка по разрешаването на проблема,

• В публичната информация относно докладвания проблем ще посочим вашето име като откривател на проблема (освен ако не желаете друго), и

• Като знак на благодарност за вашата помощ предлагаме възнаграждение за всеки доклад за проблем със сигурността, който все още не ни е бил известен. Размерът на възнаграждението ще бъде определен въз основа на сериозността на изтичането и качеството на доклада. Минималното възнаграждение ще бъде ваучер за подарък на стойност €50.

Стремим се да разрешим всички проблеми възможно най-бързо и бихме искали да играем активна роля в окончателната публикация за проблема, след като бъде разрешен.

Този текст е написан от Floor Terra и е публикуван с лиценз Creative Commons Attribution 3.0 Unported.