Eksempel på offentliggørelse af sårbarheder fra ResponsibleDisclosure.nl

Hos Acme Corporation anser vi sikkerheden i vores systemer for en topprioritet. Men uanset hvor stor en indsats vi lægger i systemsikkerhed, kan der stadig være sårbarheder.

Hvis du opdager en sårbarhed, vil vi gerne vide det, så vi kan tage skridt til at håndtere den så hurtigt som muligt.

Vi vil gerne bede dig om at hjælpe os med bedre at beskytte vores kunder og vores systemer.

Gør venligst følgende:

• Send dine fund via e-mail til cert@example.com. Kryptér dine fund med vores PGP-nøgle for at forhindre, at denne kritiske information havner i de forkerte hænder,

• Udnyt ikke den sårbarhed eller det problem, du har opdaget, f.eks. ved at downloade flere data end nødvendigt for at demonstrere sårbarheden eller ved at slette eller ændre andres data,

• Afslør ikke problemet over for andre, før det er løst,

• Brug ikke angreb på fysisk sikkerhed, social engineering, distribueret denial of service, spam eller tredjepartsapplikationer, og

• Giv tilstrækkelige oplysninger til at genskabe problemet, så vi kan løse det så hurtigt som muligt. Normalt vil IP-adressen eller URL'en på det berørte system og en beskrivelse af sårbarheden være tilstrækkeligt, men komplekse sårbarheder kan kræve yderligere forklaring.

Hvad vi lover:

• Vi svarer på din rapport inden for 3 arbejdsdage med vores vurdering af rapporten og en forventet løsningsdato,

• Hvis du har fulgt instruktionerne ovenfor, vil vi ikke tage nogen retslige skridt mod dig i forbindelse med rapporten,

• Vi behandler din rapport med streng fortrolighed og videregiver ikke dine personlige oplysninger til tredjeparter uden din tilladelse,

• Vi holder dig orienteret om fremskridtene mod at løse problemet,

• I de offentlige oplysninger om det rapporterede problem angiver vi dit navn som opdager af problemet (medmindre du ønsker andet), og

• Som et tegn på vores taknemmelighed for din hjælp tilbyder vi en belønning for hver rapport om et sikkerhedsproblem, der endnu ikke var kendt for os. Belønningens størrelse fastsættes ud fra lækagens alvor og rapportens kvalitet. Den mindste belønning er et gavekort på 50 €.

Vi bestræber os på at løse alle problemer så hurtigt som muligt, og vi vil gerne spille en aktiv rolle i den endelige offentliggørelse om problemet, efter at det er løst.

Denne tekst er skrevet af Floor Terra og er udgivet med en Creative Commons Attribution 3.0 Unported-licens.