ResponsibleDisclosure.nl-haavoittuvuuksien julkistamisen esimerkki

Acme Corporationissa pidämme järjestelmiemme tietoturvaa ensisijaisena. Mutta riippumatta siitä, kuinka paljon vaivaa näemme järjestelmien tietoturvan eteen, haavoittuvuuksia voi silti olla olemassa.

Jos löydät haavoittuvuuden, haluamme tietää siitä, jotta voimme ryhtyä toimiin sen korjaamiseksi mahdollisimman nopeasti.

Pyydämme sinua auttamaan meitä suojaamaan asiakkaitamme ja järjestelmiämme paremmin.

Toimi seuraavasti:

• Lähetä löydöksesi sähköpostilla osoitteeseen cert@example.com. Salaa löydöksesi PGP-avaimellamme, jotta tämä kriittinen tieto ei päädy vääriin käsiin,

• Älä hyödynnä löytämääsi haavoittuvuutta tai ongelmaa, esimerkiksi lataamalla enemmän dataa kuin on tarpeen haavoittuvuuden osoittamiseksi tai poistamalla tai muokkaamalla muiden ihmisten dataa,

• Älä paljasta ongelmaa muille, ennen kuin se on ratkaistu,

• Älä käytä fyysiseen turvallisuuteen kohdistuvia hyökkäyksiä, sosiaalista manipulointia, hajautettua palvelunestoa, roskapostia tai kolmansien osapuolten sovelluksia, ja

• Anna riittävästi tietoa ongelman toistamiseksi, jotta voimme ratkaista sen mahdollisimman nopeasti. Yleensä kohteena olevan järjestelmän IP-osoite tai URL ja haavoittuvuuden kuvaus riittävät, mutta monimutkaiset haavoittuvuudet voivat vaatia lisäselvitystä.

Mitä lupaamme:

• Vastaamme raporttiisi 3 arkipäivän kuluessa arviollamme raportista ja odotetulla ratkaisupäivällä,

• Jos olet noudattanut yllä olevia ohjeita, emme ryhdy oikeustoimiin sinua vastaan raporttiin liittyen,

• Käsittelemme raporttisi tiukasti luottamuksellisesti emmekä välitä henkilötietojasi kolmansille osapuolille ilman lupaasi,

• Pidämme sinut ajan tasalla ongelman ratkaisemisen edistymisestä,

• Ilmoitetusta ongelmasta kertovassa julkisessa tiedossa mainitsemme nimesi ongelman löytäjänä (ellet toisin halua), ja

• Kiitokseksi avustasi tarjoamme palkkion jokaisesta tietoturvaongelman raportista, joka ei ollut meille vielä tiedossa. Palkkion suuruus määräytyy vuodon vakavuuden ja raportin laadun perusteella. Vähimmäispalkkio on 50 euron lahjakortti.

Pyrimme ratkaisemaan kaikki ongelmat mahdollisimman nopeasti, ja haluamme olla aktiivisessa roolissa ongelmaa koskevassa lopullisessa julkaisussa sen ratkaisemisen jälkeen.

Tämän tekstin on kirjoittanut Floor Terra, ja se on julkaistu Creative Commons Attribution 3.0 Unported -lisenssillä.