Παράδειγμα γνωστοποίησης ευπαθειών του ResponsibleDisclosure.nl

Στην Acme Corporation θεωρούμε την ασφάλεια των συστημάτων μας ύψιστη προτεραιότητα. Αλλά όσες προσπάθειες κι αν καταβάλουμε για την ασφάλεια των συστημάτων, μπορεί να υπάρχουν ακόμη ευπάθειες.

Αν ανακαλύψετε μια ευπάθεια, θα θέλαμε να το μάθουμε ώστε να λάβουμε μέτρα για την αντιμετώπισή της όσο το δυνατόν συντομότερα.

Θα θέλαμε να σας ζητήσουμε να μας βοηθήσετε να προστατεύσουμε καλύτερα τους πελάτες και τα συστήματά μας.

Παρακαλούμε κάντε τα εξής:

• Στείλτε τα ευρήματά σας με email στο cert@example.com. Κρυπτογραφήστε τα ευρήματά σας με το κλειδί PGP μας για να αποτρέψετε αυτές τις κρίσιμες πληροφορίες από το να πέσουν σε λάθος χέρια,

• Μην εκμεταλλευτείτε την ευπάθεια ή το πρόβλημα που ανακαλύψατε, για παράδειγμα κατεβάζοντας περισσότερα δεδομένα από όσα χρειάζονται για να αποδείξετε την ευπάθεια ή διαγράφοντας ή τροποποιώντας δεδομένα άλλων ανθρώπων,

• Μην αποκαλύψετε το πρόβλημα σε άλλους μέχρι να επιλυθεί,

• Μη χρησιμοποιείτε επιθέσεις στη φυσική ασφάλεια, κοινωνική μηχανική, κατανεμημένη άρνηση υπηρεσίας, spam ή εφαρμογές τρίτων, και

• Δώστε επαρκείς πληροφορίες για να αναπαραχθεί το πρόβλημα, ώστε να μπορέσουμε να το επιλύσουμε όσο το δυνατόν συντομότερα. Συνήθως, η διεύθυνση IP ή το URL του επηρεαζόμενου συστήματος και μια περιγραφή της ευπάθειας θα επαρκούν, αλλά οι σύνθετες ευπάθειες μπορεί να απαιτούν περαιτέρω εξήγηση.

Τι υποσχόμαστε:

• Θα απαντήσουμε στην αναφορά σας εντός 3 εργάσιμων ημερών με την αξιολόγησή μας για την αναφορά και μια αναμενόμενη ημερομηνία επίλυσης,

• Αν έχετε ακολουθήσει τις παραπάνω οδηγίες, δεν θα προβούμε σε καμία νομική ενέργεια εναντίον σας σχετικά με την αναφορά,

• Θα χειριστούμε την αναφορά σας με αυστηρή εμπιστευτικότητα και δεν θα διαβιβάσουμε τα προσωπικά σας στοιχεία σε τρίτους χωρίς την άδειά σας,

• Θα σας ενημερώνουμε για την πρόοδο προς την επίλυση του προβλήματος,

• Στις δημόσιες πληροφορίες σχετικά με το αναφερθέν πρόβλημα, θα δώσουμε το όνομά σας ως του ανακαλύπτοντος του προβλήματος (εκτός αν επιθυμείτε διαφορετικά), και

• Ως ένδειξη ευγνωμοσύνης για τη βοήθειά σας, προσφέρουμε ανταμοιβή για κάθε αναφορά ενός προβλήματος ασφαλείας που δεν ήταν ακόμη γνωστό σε εμάς. Το ποσό της ανταμοιβής θα καθοριστεί με βάση τη σοβαρότητα της διαρροής και την ποιότητα της αναφοράς. Η ελάχιστη ανταμοιβή θα είναι μια δωροκάρτα αξίας 50 €.

Προσπαθούμε να επιλύσουμε όλα τα προβλήματα όσο το δυνατόν συντομότερα και θα θέλαμε να διαδραματίσουμε ενεργό ρόλο στην τελική δημοσίευση για το πρόβλημα αφού επιλυθεί.

Αυτό το κείμενο γράφτηκε από τη Floor Terra και δημοσιεύεται με άδεια Creative Commons Attribution 3.0 Unported.