Coordinated vulnerability disclosure
← Poliitikad

ResponsibleDisclosure.nl haavatavuste avalikustamise näidis

Acme Corporationis peame oma süsteemide turvalisust esmatähtsaks. Kuid ükskõik kui palju vaeva me süsteemide turvalisusele näeme, võib haavatavusi siiski olemas olla.

Kui avastad haavatavuse, tahaksime sellest teada, et saaksime selle lahendamiseks võimalikult kiiresti samme astuda.

Soovime paluda sul aidata meil oma kliente ja süsteeme paremini kaitsta.

Palun tee järgmist:

  • Saada oma leiud e-kirjaga aadressile cert@example.com. Krüpteeri oma leiud meie PGP võtmega, et see kriitiline teave ei satuks valedesse kätesse,

  • Ära kasuta avastatud haavatavust ega probleemi ära, näiteks laadides alla rohkem andmeid, kui on vaja haavatavuse demonstreerimiseks, ega kustuta ega muuda teiste inimeste andmeid,

  • Ära avalda probleemi teistele enne, kui see on lahendatud,

  • Ära kasuta rünnakuid füüsilise turvalisuse vastu, sotsiaalset manipuleerimist, hajusat teenusetõkestust, rämpsposti ega kolmandate osapoolte rakendusi ning

  • Anna piisavalt teavet probleemi taasesitamiseks, et saaksime selle võimalikult kiiresti lahendada. Tavaliselt piisab mõjutatud süsteemi IP-aadressist või URL-ist ja haavatavuse kirjeldusest, kuid keerukad haavatavused võivad vajada täiendavat selgitust.

Mida me lubame:

  • Vastame sinu aruandele 3 tööpäeva jooksul oma hinnanguga aruandele ja eeldatava lahendamise kuupäevaga,

  • Kui oled järginud ülaltoodud juhiseid, ei astu me aruande suhtes sinu vastu õiguslikke samme,

  • Käsitleme sinu aruannet range konfidentsiaalsusega ega edasta sinu isikuandmeid kolmandatele osapooltele ilma sinu loata,

  • Hoiame sind probleemi lahendamise edenemisega kursis,

  • Teatatud probleemi kohta avaldatavas avalikus teabes nimetame sind probleemi avastajana (kui sa just muud ei soovi) ning

  • Tänutäheks sinu abi eest pakume tasu iga turvaprobleemi aruande eest, mis polnud meile veel teada. Tasu suurus määratakse lekke tõsiduse ja aruande kvaliteedi alusel. Minimaalne tasu on 50 € kinkekaart.

Püüame kõik probleemid lahendada võimalikult kiiresti ja soovime olla aktiivselt kaasatud probleemi lõplikku avaldamisse pärast selle lahendamist.

Selle teksti on kirjutanud Floor Terra ja see on avaldatud litsentsiga Creative Commons Attribution 3.0 Unported.