Coordinated vulnerability disclosure

Foillseachadh co-òrdanaichte so-leòntachd (CVD)

Mar a bheir thu aithris air, a gheibh thu agus a cho-òrdaicheas tu so-leòntachdan tèarainteachd, le eisimpleirean poileasaidh.

Tha foillseachadh co-òrdanaichte so-leòntachd (CVD) na fhacal ann an tèarainteachd choimpiutairean. Tha e a’ mìneachadh mar a faodas daoine aithisgean mu dhuilgheadasan tèarainteachd a cho-roinn. Mar eisimpleirean tha aithisgean bhugaichean, cunnartan briste-a-steach, rabhaidhean hackaidh, call dàta, briseadh a-steach air làraichean-lìn, msaa.

Eadar-theangachaidhean: العربية, Български, বাংলা, Čeština, Cymraeg, Dansk, Deutsch, Ελληνικά, English, Español, Eesti, Euskara, فارسی, Suomi, Français, Gaeilge, Gàidhlig, ગુજરાતી, Hausa, עברית, हिन्दी, Hrvatski, Magyar, Bahasa Indonesia, Íslenska, Italiano, 日本語, 한국어, Lietuvių, Latviešu, Nederlands, Polski, Português, Română, Русский, Slovenčina, Slovenščina, Svenska, Kiswahili, ไทย, Türkçe, Українська, اردو, Tiếng Việt, 中文

Clàr-innse:

Poileasaidhean:

Ro-ràdh

Tha an sgrìobhainn seo a’ mìneachadh foillseachadh co-òrdanaichte so-leòntachd ann an dòighean a dh’fhaodadh cuideachadh le daoine a bhith ag obair còmhla.

Amasan na sgrìobhainn:

  1. Cuideachadh le daoine a lorgas duilgheadasan tèarainteachd agus a tha airson an aithris.

  2. Cuideachadh le riochdairean companaidhean tuigsinn dè a tha a dhìth, na h-amasan, na cleachdaidhean agus na cùisean sònraichte a thaobh foillseachadh cunntachail.

  3. Poileasaidhean eisimpleir de dh’fhoillseachadh co-òrdanaichte so-leòntachd a ghabhail a-steach ann am pasgan an ionaid-tasgaidh.

Tha fàilte air iarrtasan tarraing (pull requests), no cùisean GitHub, no post-d gu security@joelparkerhenderson.com.

Mìneachadh air foillseachadh co-òrdanaichte so-leòntachd

Tha foillseachadh co-òrdanaichte so-leòntachd a’ mìneachadh trì ceumannan nuair a lorgas cuideigin duilgheadas tèarainteachd (leithid bug bathair-bhog) agus a tha e airson aithris dhan riochdaire (leithid a’ chompanaidh a rinn am bathar-bog).

Ceumannan:

  1. Bidh an neach-lorg ag aithris an duilgheadais gu prìobhaideach, le deagh-rùn, dhan riochdaire.

  2. Bidh an riochdaire a’ feuchainn ri luchd-cleachdaidh a dhìon le deagh-rùn agus ri dèiligeadh ris an duilgheadas.

  3. An dèidh ùine shònraichte, thèid an duilgheadas tèarainteachd fhoillseachadh gu poblach.

Ceum 1: Aithris an duilgheadas

Tha Ceum 1 airson an neach-lorg: aithris an duilgheadas gu prìobhaideach, le deagh-rùn.

  • Math: Bidh an neach-lorg a’ cur an fhiosrachaidh chudromaich dhan riochdaire, can air post-d gu seòladh post-d tèarainteachd an riochdaire (mar as trice “security@example.com”) no tro fhoirm air làrach-lìn an riochdaire (mar as trice “https://www.example.com/security”).

  • Dona: aithisg a phostadh air blog poblach, no na meadhanan a chur an cèill, no bagairtean, no oidhirpean air an duilgheadas tèarainteachd a reic ri hackers, msaa.

  • Gliocas: faodaidh an neach-lorg roghnachadh a bhith gun ainm; faodaidh an riochdaire cuideachd roghnachadh a bhith gun ainm.

Ma tha thu ag iarraidh, cùm ort a’ cumail sùil air an duilgheadas.

  • Math: loidhnichean conaltraidh fhosgladh, no fiosrachadh leantainneach a thoirt seachad, no sùil a chumail air an t-suidheachadh.

  • Dona: dìochuimhneachadh mun duilgheadas,

  • Gliocas: faodaidh an neach-lorg roghnachadh a bhith a’ cuideachadh no nach bi, agus faodaidh e roghnachadh a bhith ann an conaltradh no nach bi, agus faodaidh e cuideachd an rèiteachadh atharrachadh ma dh’atharraicheas suidheachadh.

Ma tha thu ag iarraidh, foillsich an duilgheadas do dhaoine eile.

  • Math: feitheamh airson na h-ùine shònraichte agus an uairsin a dhol poblach, can le fiosrachadh cudromach a phostadh air làrach naidheachdan tèarainteachd, no conaltradh a dhèanamh ri luchd-rannsachaidh tèarainteachd treas-phàrtaidh a tha buntainneach, no an duilgheadas ainmeachadh air làrach shòisealta phoblach sam bith, msaa.

  • Dona: gun an duilgheadas fhoillseachadh do dhaoine eile, mura h-eil thu a’ faireachdainn gun toireadh sin barrachd cunnairt dhut fhèin no do dhaoine eile na tha iomchaidh.

  • Gliocas: ma dh’atharraicheas suidheachadh, can ma lorgar cunnart nas motha no brath beò san t-saoghal, faodaidh an neach-lorg an duilgheadas fhoillseachadh do dhaoine eile na bu tràithe.

Ceum 2: Dèan cinnteach à fiosan-conaltraidh.

Tha Ceum 2 airson an riochdaire: dèan cinnteach gu bheil na fiosan-conaltraidh èifeachdach.

  • Math: Bidh an riochdaire a’ foillseachadh seòladh post-d conaltraidh tèarainteachd (gu gnàthach “security@example.com”) agus, mas urrainn, iuchair crioptaidh post-d tèarainte.

  • Math: Bidh an riochdaire a’ foillseachadh duilleag-lìn conaltraidh tèarainteachd (gu gnàthach “https://www.example.com/security”) agus, mas urrainn, a’ dèanamh cinnteach gu bheil e furasta an duilleag a lorg, can tro bhonn-chas na làraich-lìn, mapa na làraich agus an lorg.

  • Dona: Chan eil an riochdaire a’ toirt seachad seòladh post-d no duilleag-lìn, no chan eil e gan dèanamh furasta an lorg.

Dèan cinnteach à comasan an luchd-obrach.

  • Math: Bidh an riochdaire a’ trèanadh luchd-obrach taic dè a nì iad ma gheibh iad ceist tèarainteachd, can mar a fhreagras iad le fiosrachadh conaltraidh, no mar a chuireas iad a’ cheist air adhart chun na sgioba a tha ceart a-staigh.

  • Math: Bidh an riochdaire a’ dearbhadh o àm gu àm gu bheil comasan an luchd-obrach ag obair.

  • Dona: Chan eil an riochdaire a’ trèanadh no a’ dearbhadh.

Freagair an neach-lorg taobh a-staigh na h-ùine.

  • Mura sònraich an neach-lorg ùine, cleachd aon latha-obrach, oir is e seo an gnàth-shuidheachadh gnìomhachais agus an cleachdadh as fheàrr an-dràsta.

  • Ma chuireas an neach-lorg ceistean, freagair iad. Tha seo gu sònraichte cudromach ma dh’iarras an neach-lorg cead airson deuchainn. Dèan cinnteach gu bheil a h-uile freagairt soilleir agus dìreach.

Freagair an neach-lorg tro neach-conaltraidh tèarainteachd ùghdarraichte agus/no pròiseas tèarainteachd ùghdarraichte.

  • Math: freagairt bho sheòladh post-d a tha sònraichte airson tèarainteachd, leithid “security@example.com”.

  • Mar eisimpleir, tha iad sin dona: freagairt bho sheòladh post-d coitcheann, leithid “help@example.com”, no bho neach sam bith nach eil na phroifeasanta tèarainteachd ùghdarraichte.

Innis dhan neach-lorg gu bheil an duilgheadas air aithneachadh mar aithisg tèarainteachd.

  • Math: cainnt a tha sònraichte airson tèarainteachd, leithid “Tha an sgioba tèarainteachd againn air do aithisg foillseachaidh chunntachail fhaighinn”, no “Tha na ceumannan seo san ath-phròiseas tèarainteachd againn”, no “Tha am fiosrachadh agad a-nis anns an tracaiche tèarainteachd againn le àireamh-aithne XYZ”, msaa.

  • Dona: cainnt choitcheann, leithid “Tha sinn a’ cur luach air do ghnìomhachas”, no “Tha sinn a’ gabhail tèarainteachd gu dona”, cainnt a tha a’ sparradh na cùise air cuideigin eile, leithid “Chuir sinn do phost-d gu roinn eile”, msaa.

Ceum 3: Obraich ann an deagh-rùn

Tha Ceum 3 airson an neach-lorg agus an riochdaire còmhla: obraichibh ann an deagh-rùn.

Thoir an aire gu bheil foillseachadh co-òrdanaichte so-leòntachd a’ mìneachadh pròiseas deagh-rùin.

  • Is e amas #1 deagh-rùn airson cuideachadh le luchd-cleachdaidh iad fhèin a dhìon o chunnartan tèarainteachd.

  • Is e amas #2 deagh-rùn airson dèiligeadh ris an duilgheadas tèarainteachd.

  • Faodaidh an neach-lorg agus/no an riochdaire roghnachadh, le deagh-rùn, daoine tèarainteachd eile a thoirt a-steach, leithid conaltradh a dhèanamh ri luchd-rannsachaidh tèarainteachd buntainneach eile gus cuideachadh leis an duilgheadas.

Thoir an aire nach cruthaich foillseachadh co-òrdanaichte so-leòntachd uallach sam bith.

  • Faodaidh an neach-lorg agus/no an riochdaire tarraing a-mach aig àm sam bith, airson adhbhar sam bith, le rabhadh no às aonais. Tha e modhail a h-uile duine buntainneach a chumail fiosraichte agus cunbhalach, ach chan eil sin comasach an-còmhnaidh, no practaigeach, no ion-mhiannaichte.

  • Chan eil foillseachadh co-òrdanaichte so-leòntachd a’ cruthachadh aonta laghail sam bith. Ma tha aonta laghail aig an neach-lorg agus an riochdaire mu thràth, tha sinn a’ moladh gun dèan a h-uile duine buntainneach co-chomhairle ris na luchd-lagha iomchaidh; na cleachd an sgrìobhainn seo mar chomhairle laghail.

Thoir an aire gu bheil foillseachadh co-òrdanaichte so-leòntachd ag amas air deagh chonaltradh a chleachdadh agus ag amas air bagairtean a dhiùltadh.

  • Tha foillseachadh co-òrdanaichte so-leòntachd as fheàrr nuair a thuigeas a h-uile duine buntainneach gur e amas #1 cuideachadh le luchd-cleachdaidh iad fhèin a dhìon o chunnartan tèarainteachd, agus gur e amas #2 dèiligeadh ris an duilgheadas tèarainteachd.

  • Tha foillseachadh co-òrdanaichte so-leòntachd a’ diùltadh gach seòrsa bagairt air dìoghaltas, cur eagal, cur dheth, cur às, spùinneadh, uallach leantainn, no cur na coire air an neach a dh’fhuiling.

Thoir an aire gum faod foillseachadh co-òrdanaichte so-leòntachd rudan eadar-dhealaichte a chiallachadh do dhaoine eadar-dhealaichte.

  • Faodaidh tuigse eadar-dhealaichte a bhith aig an neach-lorg agus an riochdaire air foillseachadh co-òrdanaichte so-leòntachd. Dh’fhaodadh nach eil na tuigsean sin a’ freagairt ri chèile. Tha deagh-rùn a’ gabhail a-steach gu bheil a h-uile duine buntainneach a’ tuigsinn seo.

  • Bidh cuid de riochdairean a’ foillseachadh phoileasaidhean foillseachaidh cho-òrdanaichte so-leòntachd. Faodaidh iad sin a bhith nan stiùireadh feumail. Ma roghnaicheas neach-lorg seòrsa eile de dh’fhoillseachadh co-òrdanaichte so-leòntachd a chleachdadh, no ma tha tuigse eadar-dhealaichte aige air foillseachadh cunntachail, tha sin gu tur ceart gu leòr.

Thoir an aire gu bheil an neach-lorg, mar as trice, a’ dèanamh fàbhar dhan fhoillsichear.

  • Mar as trice chan fheum an neach-lorg cead cuideigin sam bith gus so-leòntachdan fhoillseachadh.

  • Mar as trice bidh fiosrachadh an neach-lorg a’ cuideachadh an fhoillsichear.

Dearbh soirbheachas

An dèidh an duilgheadas a rèiteachadh, feumaidh an riochdaire soirbheachas a dhearbhadh.

  • An do làimhsich na daoine agus na pròiseasan uile am foillseachadh gu soirbheachail? Ma rinn, math. Mura do rinn, smaoinich air rannsachadh às dèidh gnìomha a dhèanamh, leithid mion-sgrùdadh air adhbhar bunaiteach (RCA), aithisgean às dèidh bàis, diagraman Ishikawa, no mion-sgrùdadh adhbharail stèidhichte air teòiridh shiostaman (CAST).

  • A bheil duilgheadasan fhathast gun rèiteachadh air an seòrsachadh agus air an tracadh?

  • A bheil an riochdaire agus an neach-lorg le chèile a’ tuigsinn dè a nì iad airson ceumannan sam bith a leanas? Tha seo gu sònraichte cudromach a dhèanamh ceart air eagal gum bi foillseachaidhean co-òrdanaichte so-leòntachd eile ri leantainn.

Stiùireadh

Faodaidh stiùireadh airson foillseachadh co-òrdanaichte so-leòntachd tighinn bho iomadh raon, leithid eòlaichean beusachd, luchd-tagraidh laghail, dùilean reusanta a’ phobaill choitchinn, msaa.

Ma tha thu a’ sireadh stiùiridh, dh’fhaodadh gum bi ùidh agad anns na trì raointean seo, a tha air am mìneachadh gu h-ìosal.

  • Samaritanach Math

  • Dleastanas teasairginn

  • Dleastanas cùraim

Samaritanach Math

Wikipedia: Good Samaritan law

Bidh laghan Samaritanach Math a’ toirt dìon laghail do dhaoine a bheir taic reusanta dhaibhsan a tha, no a tha iad a’ creidsinn a tha, air an leòn, tinn, ann an cunnart, no eile neo-chomasach. Tha an dìon an dùil dragh luchd-amhairc mu bhith a’ cuideachadh a lùghdachadh, air eagal gun tèid agairt no casaid a dhèanamh orra.

Dleastanas teasairginn

Wikipedia: Duty to rescue

’S e bun-bheachd a th’ ann an dleastanas teasairginn a tha a’ mìneachadh suidheachadh anns am faodar pàrtaidh a chumail cunntachail airson gun a bhith a’ tighinn gu teasairginn pàrtaidh eile ann an cunnart. Faodaidh raointean moralta agus/no laghail a bhith ann an dleastanas teasairginn.

Dleastanas cùraim

Wikipedia: Duty of care

’S e dleastanas cùraim an t-uallach a bhith a’ gabhail ri inbhe de chùram reusanta nuair a nithear gnìomh sam bith a dh’fhaodadh cron a dhèanamh air daoine eile a ghabhas fhaicinn ro-làimh. Faodaidh raointean moralta agus/no laghail a bhith ann an dleastanas cùraim. Seo cuid de na taobhan ri bheachdachadh: comas ro-aithneachaidh a’ chron no na dochann, meud a dh’fhaodadh a bhith aig a’ chron no an dochann, cudromachd no luach sòisealta a’ ghnìomhachd anns a bheil an neach-dìon an sàs, feumalachd an giùlain don neach-dìon, comasachd giùlain eile, na cosgaisean agus na uallaichean co-cheangailte ris a’ ghiùlan eile, feumalachd cuimsearach a’ ghiùlain eile, agus sàbhailteachd chuimsearach a’ ghiùlain eile.

Cùisean sònraichte

Tha raon farsaing de chùisean sònraichte air a bhith aig na sgiobaidhean tèarainteachd againn.

Bidh sinn gan mìneachadh an seo gus cuideachadh le daoine tuigsinn càite a bheil raon farsaing bheachdan ann air na dh’fhaodadh a bhith ceart agus na dh’fhaodadh a bhith ceàrr. Tha sinn a’ moladh gun dèan a h-uile duine buntainneach conaltradh ann an deagh-rùn mu na cùisean seo.

A’ faighinn gu fiosrachadh luchd-cleachdaidh eile

Eisimpleir: lorgaidh tu gu bheil an ID cleachdaiche agad ann an URL, agus gu bheil e a’ nochdadh bug, agus tha thu a’ creidsinn gun urrainn dhut an URL a dheasachadh gus d’ ID cleachdaiche atharrachadh gu ID cleachdaiche eile.

  • A bheil e ceart don neach-lorg seo a dhèanamh, can leis an aon amas a lorg a bheil e a’ toirt buaidh air luchd-cleachdaidh eile cuideachd?

  • A bheil e nas cudromaiche farsaingeachd a’ chunnairt do gach neach-cleachdaidh a thuigsinn gu sgiobalta, na dà neach-cleachdaidh a dhìon aig a bheil am fiosrachadh is dòcha ri fhaicinn do hackers mu thràth?

  • A bheil e ceart don neach-lorg seo a dhèanamh le uiread de luchd-cleachdaidh agus a tha thu ag iarraidh?

  • A bheil e ceart don neach-lorg feuchainn ri conaltradh a dhèanamh ri luchd-cleachdaidh gus innse dhaibh gu bheil buaidh orra? A bheil e ceart molaidhean airson lùghdachadh a thabhairt seachad?

Àicheadh seirbheis

Eisimpleir: lorgaidh tu bug a chuireas do chunntas dheth gun fhiosta, leithid glas facal-faire a bhrosnachadh.

  • A bheilear a’ meas gur e ionnsaigh àicheadh seirbheis a tha seo?

Post-d gun iarraidh

Eisimpleir: bidh thu a’ feuchainn ri duilgheadas tèarainteachd aithris do dhaoine sa chompanaidh a tha thu a’ smaoineachadh a tha buntainneach, agus a lorgas tu le rannsachadh air LinkedIn, Facebook, msaa, no le bhith a’ cleachdadh cleachdaidhean ainmeachaidh leithid “webmaster@example.com” no “security@example.com”.

  • A bheil seo ceart gu leòr?

  • A bheilear a’ meas gur e post-d gun iarraidh a tha seo?

  • A bheilear a’ meas gur e post-d gun ùghdarras a tha seo?

Buidhnean às-dhùinte

Eisimpleir: tha thu ann am buidheann às-dhùinte, leithid a bhith nad leanabh, no air liosta smachd-bhannan, no ann an dùthaich air liosta smachd-bhannan.

  • A bheil e ceart dhut aithisg a dhèanamh?

  • A bheil e ceart aithris a dhèanamh gun ainm?

  • A bheil e ceart fiosrachadh a dh’fhaodadh d’ aithneachadh atharrachadh a dh’aona ghnothach, leithid gus teicheadh o bhuidheann às-dhùinte, agus leis an amas cuideachadh leis an fhoillseachadh a’ ruighinn nan daoine ceart?

Treas phàrtaidh

Eisimpleir: lorgaidh tu gu bheil bug ann am bathar-bog companaidh a tha an sàs ann an treas phàrtaidh, leithid amalachadh le pìos bathair-bhog eile no làrach-lìn eile.

  • A bheil e ceart dhut a’ chuid as motha dhen fhiosrachadh a lorgas tu aithris dhan dà phàrtaidh?

  • A bheil e riatanach dà fhoillseachadh cunntachail eadar-dhealaichte a dhèanamh, leithid aon aithisg dhan aon chompanaidh, agus aithisg eadar-dhealaichte dhan chompanaidh treas-phàrtaidh, leis an amas a’ chuid de dh’fhiosrachadh a thèid a chur gu gach companaidh a chuingealachadh?

  • A bheil e ceart don neach-lorg na companaidhean a thoirt an conaltradh le chèile?

Bathar-bog briseach

Eisimpleir: tha thu sgileil gu leòr gus bhìoras a sgrìobhadh a tha thu a’ creidsinn a chuidicheas luchd-cleachdaidh iad fhèin a dhìon o chunnart tèarainteachd, no aithneachadh a bheil iad ann an cunnart, no an cunnart tèarainteachd a chàradh.

  • A bheil e ceart gu leòr?

  • A bheil e ceart don neach-lorg luchd-cleachdaidh a stiùireadh gu bathar-bog mar seo, agus/no gu stiùiridhean no oideachasan a tha a’ mìneachadh mar a chruthaicheas tu an seòrsa bathair-bhog seo?

Foillseachadh co-òrdanaichte so-leòntachd an aghaidh foillseachadh cunntachail

Is e foillseachadh co-òrdanaichte so-leòntachd am facal as fheàrr leinn.

  • Is e an taobh as cudromaiche an co-òrdanachadh eadar an neach-lorg agus an riochdaire.

Tha foillseachadh cunntachail na fhacal air a bheil dì-mholadh.

  • Tha beachdan eadar-dhealaichte aig daoine air dè tha e a’ ciallachadh a bhith cunntachail. Mar eisimpleir, bidh cuid a’ tagradh gu bheil e cunntachail don neach-lorg am poball a chur an cèill sa bhad a dh’aindeoin eadar-obrachadh sam bith leis an riochdaire, agus neo-chunntachail foillseachadh co-òrdanaichte so-leòntachd a dhèanamh oir tha e a’ falach fiosrachaidh on phoball.

Tracadh