Coordinated vulnerability disclosure

Bayyana Rashin Tsaro a Haɗin Gwiwa (CVD)

Yadda ake bayar da rahoto, karɓa, da daidaita raunin tsaro, tare da misalan manufofi.

Bayyana rashin tsaro a haɗin gwiwa (CVD) kalma ce ta tsaron kwamfuta. Tana bayyana yadda mutane za su iya raba rahotanni game da matsalolin tsaro. Misalai su ne rahotannin kurakurai, haɗarin kutse, gargaɗin satar bayanai, ɓarkewar bayanai, keta shafukan yanar gizo, da sauransu.

Fassarori: العربية, Български, বাংলা, Čeština, Cymraeg, Dansk, Deutsch, Ελληνικά, English, Español, Eesti, Euskara, فارسی, Suomi, Français, Gaeilge, Gàidhlig, ગુજરાતી, Hausa, עברית, हिन्दी, Hrvatski, Magyar, Bahasa Indonesia, Íslenska, Italiano, 日本語, 한국어, Lietuvių, Latviešu, Nederlands, Polski, Português, Română, Русский, Slovenčina, Slovenščina, Svenska, Kiswahili, ไทย, Türkçe, Українська, اردو, Tiếng Việt, 中文

Abubuwan da ke ciki:

Manufofi:

Gabatarwa

Wannan takarda tana bayyana bayyana rashin tsaro a haɗin gwiwa ta hanyoyin da za su iya taimaka wa mutane su yi aiki tare.

Manufofin takardar:

  1. Taimaka wa mutanen da suka gano matsalolin tsaro kuma suke son bayar da rahotonsu.

  2. Taimaka wa wakilan kamfanoni su fahimci buƙatu, manufofi, ayyuka, da lokuta na musamman na bayyanawa cikin alhaki.

  3. Haɗa misalan manufofin bayyana rashin tsaro a haɗin gwiwa a cikin babban fayil ɗin ma'ajiyar.

Muna maraba da buƙatun ɗaukar canje-canje (pull requests), ko batutuwan GitHub, ko imel zuwa security@joelparkerhenderson.com.

Menene bayyana rashin tsaro a haɗin gwiwa?

Bayyana rashin tsaro a haɗin gwiwa yana bayyana matakai uku idan wani ya gano matsalar tsaro (kamar kuskuren manhaja) kuma yana son bayar da rahotonta ga mai samarwa (kamar kamfanin da ke yin manhajar).

Matakai:

  1. Mai ganowa yana bayar da rahoton matsalar a asirce ga mai samarwa da kyakkyawar niyya.

  2. Mai samarwa yana ƙoƙarin kare masu amfani da kyakkyawar niyya kuma yana ƙoƙarin magance matsalar.

  3. Bayan wani lokaci da aka tsara, sai a bayyana matsalar tsaron ga jama'a.

Mataki na 1: Bayar da rahoton matsalar

Mataki na 1 na mai ganowa ne: bayar da rahoton matsalar a asirce da kyakkyawar niyya.

  • Mai kyau: Mai ganowa yana aika bayanan da suka dace ga mai samarwa, misali ta imel zuwa adireshin imel na tsaro na mai samarwa (yawanci "security@example.com") ko ta fom ɗin shafin yanar gizo na mai samarwa (yawanci "https://www.example.com/security").

  • Mara kyau: bugawa a shafin blog na jama'a, ko sanar da kafafen yaɗa labarai, ko yin barazana, ko ƙoƙarin sayar da matsalar tsaron ga maharan kwamfuta, da sauransu.

  • Shawara: mai ganowa na iya zaɓar ya zama ba a san shi ba; mai samarwa ma na iya zaɓar ya zama ba a san shi ba.

Idan kana so, ci gaba da lura da matsalar.

  • Mai kyau: buɗe hanyoyin sadarwa, ko bayar da ƙarin bayani, ko sa ido kan halin da ake ciki.

  • Mara kyau: manta da matsalar,

  • Shawara: mai ganowa na iya zaɓar ya taimaka ko kada ya taimaka, kuma yana iya zaɓar ya ci gaba da sadarwa ko a'a, kuma yana iya zaɓar ya canja tsarin idan yanayi ya canja.

Idan kana so, bayyana matsalar ga wasu.

  • Mai kyau: jira lokacin da aka tsara sannan a bayyana wa jama'a, misali ta buga bayanan da suka dace a shafin labaran tsaro, ko tuntuɓar masu binciken tsaro na wasu ɓangarori, ko sanar da matsalar a kowane shafin sada zumunta na jama'a, da sauransu.

  • Mara kyau: rashin bayyana matsalar ga wasu, sai dai idan kana ganin hakan zai jawo haɗari fiye da kima ga kanka ko ga wasu.

  • Shawara: idan yanayi ya canja, kamar gano haɗari mafi girma ko amfani da matsalar a zahiri a waje, to mai ganowa na iya bayyana matsalar ga wasu da wuri.

Mataki na 2: Tabbatar da hanyoyin tuntuɓa

Mataki na 2 na mai samarwa ne: tabbatar da cewa hanyoyin tuntuɓa suna aiki.

  • Mai kyau: Mai samarwa yana buga adireshin imel na tuntuɓar tsaro (bisa al'ada "security@example.com") kuma idan zai yiwu maɓallin ɓoye imel mai tsaro.

  • Mai kyau: Mai samarwa yana buga shafin yanar gizo na tuntuɓar tsaro (bisa al'ada "https://www.example.com/security") kuma idan zai yiwu yana sa shafin ya zama mai sauƙin ganowa, misali ta ƙasan shafin yanar gizon, taswirar shafi, da bincike.

  • Mara kyau: Mai samarwa bai bayar da adireshin imel ko shafin yanar gizo ba, ko bai sa su zama masu sauƙin ganowa ba.

Tabbatar da ƙwarewar ma'aikata.

  • Mai kyau: Mai samarwa yana horar da ma'aikatan tallafi abin da za su yi idan sun karɓi tambayar tsaro, misali yadda za su amsa da bayanin tuntuɓa, ko yadda za su tura tambayar ga ƙungiyar cikin gida da ta dace.

  • Mai kyau: Mai samarwa yana tabbatar lokaci-lokaci cewa ƙwarewar ma'aikata tana aiki.

  • Mara kyau: Mai samarwa bai horar ko bai tabbatar ba.

Amsa wa mai ganowa cikin lokacin da aka tsara.

  • Idan mai ganowa bai bayyana wani lokaci ba, to a yi amfani da ranar aiki ɗaya, domin wannan ma'auni ne na masana'antu kuma mafi kyawun aiki na masana'antu a yanzu.

  • Idan mai ganowa ya yi tambayoyi, a amsa su. Wannan yana da muhimmanci musamman idan mai ganowa ya nemi izinin yin gwaji. Tabbatar cewa dukkan amsoshi a bayyane suke kuma kai tsaye.

Amsa wa mai ganowa ta hanyar wakilin tsaro mai izini da/ko tsarin tsaro mai izini.

  • Mai kyau: amsa daga adireshin imel na musamman na tsaro, kamar "security@example.com".

  • Misali, waɗannan ba su da kyau: amsa daga adireshin imel na gama-gari, kamar "help@example.com", ko daga duk wanda ba ƙwararren tsaro mai izini ba.

Sanar da mai ganowa cewa an gane matsalar a matsayin rahoton tsaro.

  • Mai kyau: kalmomin da suka shafi tsaro, kamar "Ƙungiyar tsaronmu ta karɓi rahotonka na bayyanawa cikin alhaki", ko "Tsarin tsaronmu yana da waɗannan matakai na gaba", ko "Bayananka yanzu suna cikin na'urar bin diddigin tsaronmu mai lambar XYZ", da sauransu.

  • Mara kyau: kalmomin gama-gari, kamar "Muna godiya da kasuwancinka", ko "Muna ɗaukar tsaro da muhimmanci", kalmomin ture-wa-wani-nauyi kamar "Mun tura imel ɗinka zuwa wani sashe", da sauransu.

Mataki na 3: Yin aiki da kyakkyawar niyya

Mataki na 3 na mai ganowa da mai samarwa ne tare: yin aiki da kyakkyawar niyya.

Fahimci cewa bayyana rashin tsaro a haɗin gwiwa tsari ne na kyakkyawar niyya.

  • Manufa ta #1 ita ce kyakkyawar niyya don taimaka wa masu amfani su kare kansu daga haɗarin tsaro.

  • Manufa ta #2 ita ce kyakkyawar niyya don magance matsalar tsaron.

  • Mai ganowa da/ko mai samarwa na iya zaɓar da kyakkyawar niyya su haɗa wasu mutanen tsaro, kamar tuntuɓar wasu masu binciken tsaro masu dacewa don taimakawa da matsalar.

Fahimci cewa bayyana rashin tsaro a haɗin gwiwa ba ya haifar da wani wajibci.

  • Mai ganowa da/ko mai samarwa na iya janyewa a kowane lokaci, saboda kowane dalili, tare da gargaɗi ko ba tare da gargaɗi ba. Ladabi ne a sanar da dukkan mutanen da abin ya shafa kuma a ci gaba da sabunta su, amma wannan ba koyaushe zai yiwu ba, ko ya dace, ko ake so.

  • Bayyana rashin tsaro a haɗin gwiwa ba ya haifar da wata yarjejeniyar shari'a. Idan mai ganowa da mai samarwa sun riga sun yi yarjejeniyar shari'a, to muna ba da shawarar kowa da kowa da abin ya shafa ya tuntuɓi lauyoyi masu dacewa; kada a yi amfani da wannan takarda a matsayin shawarar shari'a.

Fahimci cewa bayyana rashin tsaro a haɗin gwiwa yana nufin amfani da kyakkyawar sadarwa kuma yana nufin ƙin barazana.

  • Bayyana rashin tsaro a haɗin gwiwa yana da kyau idan kowa da abin ya shafa ya fahimci cewa manufa ta #1 ita ce taimaka wa masu amfani su kare kansu daga haɗarin tsaro, kuma manufa ta #2 ita ce magance matsalar tsaron.

  • Bayyana rashin tsaro a haɗin gwiwa yana ƙin kowane irin barazanar ramuwar gayya, tsoratarwa, dakatarwa, soke izini, tilastawa, nauyin bibiya, ko zargin wanda aka cutar.

Fahimci cewa bayyana rashin tsaro a haɗin gwiwa na iya nufin abubuwa daban-daban ga mutane daban-daban.

  • Mai ganowa da mai samarwa na iya samun fahimta daban-daban game da bayyana rashin tsaro a haɗin gwiwa. Waɗannan fahimta ba lallai ne su dace da juna ba. Kyakkyawar niyya ta haɗa da kowa da abin ya shafa ya fahimci wannan.

  • Wasu masu samarwa suna buga manufofin bayyana rashin tsaro a haɗin gwiwa. Waɗannan na iya zama jagora mai amfani. Idan mai ganowa ya zaɓi yin amfani da wani irin bayyana rashin tsaro a haɗin gwiwa daban, ko yana da fahimta daban game da bayyanawa cikin alhaki, wannan ba komai ba ne.

Fahimci cewa yawanci mai ganowa yana yi wa mai wallafawa alheri.

  • Yawanci mai ganowa ba ya buƙatar izinin kowa don wallafa raunin tsaro.

  • Yawanci bayanan mai ganowa suna taimaka wa mai wallafawa.

Tabbatar da nasara

Bayan an warware matsalar, dole ne mai samarwa ya tabbatar da nasara.

  • Shin dukkan mutanen da tsare-tsaren sun gudanar da bayyanawar cikin nasara? Idan haka ne, to da kyau. Idan ba haka ba, to a yi la'akari da yin bincike bayan aiki, kamar nazarin tushen matsala (RCA), rahotannin bayan-faruwa, zane-zanen Isikawa, ko nazarin musabbabi bisa ka'idar tsarin (CAST).

  • Shin an tantance kuma an bi diddigin duk wasu batutuwan da suka rage?

  • Shin mai samarwa da mai ganowa duka sun fahimci abin da za su yi game da kowane mataki na gaba? Wannan yana da muhimmanci musamman a yi shi daidai idan akwai yiwuwar wasu bayyana rashin tsaro a haɗin gwiwa na gaba.

Jagora

Jagora game da bayyana rashin tsaro a haɗin gwiwa na iya zuwa daga fannoni da yawa, kamar ƙwararrun ɗabi'a, masu fafutukar shari'a, tsammanin jama'a masu ma'ana, da sauransu.

Idan kana neman jagora, to kana iya sha'awar waɗannan fannoni uku, waɗanda aka bayyana a ƙasa.

  • Basamariye mai kirki

  • Wajibcin ceto

  • Wajibcin kulawa

Basamariye mai kirki

Wikipedia: Good Samaritan law

Dokokin Basamariye mai kirki suna ba da kariyar shari'a ga mutanen da suke ba da taimako mai ma'ana ga waɗanda suka ji rauni, ko suna rashin lafiya, ko suke cikin haɗari, ko kuma ba su da ikon taimakon kansu, ko kuma waɗanda suke ganin haka ne. An yi kariyar ne don rage jinkirin masu kallo wajen taimakawa, saboda tsoron a kai su ƙara ko a gurfanar da su.

Wajibcin ceto

Wikipedia: Duty to rescue

Wajibcin ceto ra'ayi ne da ke bayyana yanayin da za a iya ɗora wa wani ɓangare alhaki saboda gazawa wajen kai ɗauki ga wani ɓangare da ke cikin haɗari. Wajibcin ceto na iya samun fannonin ɗabi'a da/ko na shari'a.

Wajibcin kulawa

Wikipedia: Duty of care

Wajibcin kulawa shi ne wajibci na bin ma'aunin kulawa mai ma'ana yayin yin duk wani aiki da zai iya cutar da wasu a hasashe. Wajibcin kulawa na iya samun fannonin ɗabi'a da/ko na shari'a. Wasu abubuwan da za a yi la'akari da su su ne: hasashen cutarwar ko raunin, girman cutarwar ko raunin da za a iya samu, muhimmancin ko darajar zamantakewar aikin da wanda ake ƙara ya yi, amfanin ɗabi'ar ga wanda ake ƙara, yiwuwar wata ɗabi'a dabam, kuɗaɗe da nauyin da ke tattare da wata ɗabi'a dabam, amfanin wata ɗabi'a dabam a kwatanta, da kuma amincin wata ɗabi'a dabam a kwatanta.

Lokuta na musamman

Ƙungiyoyin tsaronmu sun ga lokuta na musamman iri-iri.

Muna bayyana su a nan don taimaka wa mutane su fahimci inda ra'ayoyi suka bambanta game da abin da ya dace da wanda bai dace ba. Muna ba da shawarar cewa kowa da abin ya shafa ya yi magana da kyakkyawar niyya game da waɗannan.

Samun bayanan sauran masu amfani

Misali: ka gano cewa URL yana ɗauke da lambar mai amfani naka, kuma yana bayyana kuskure, kuma kana ganin za ka iya gyara URL ɗin don canja lambar mai amfani naka zuwa lambar wani mai amfani daban.

  • Shin ya dace mai ganowa ya yi haka, misali da kawai manufar gano ko yana shafar sauran masu amfani ma?

  • Shin ya fi muhimmanci a fahimci faɗin haɗarin ga dukkan masu amfani da sauri, fiye da kare masu amfani kaɗan waɗanda bayanansu ƙila sun riga sun bayyana ga maharan kwamfuta?

  • Shin ya dace mai ganowa ya yi haka da duk adadin masu amfani da yake so?

  • Shin ya dace mai ganowa ya yi ƙoƙarin tuntuɓar masu amfani don sanar da su cewa abin ya shafe su? Shin ya dace a ba da shawarwari don rage tasirin?

Hana sabis

Misali: ka gano kuskure wanda bisa kuskure yake dakatar da asusunka, kamar jawo kulle kalmar sirri.

  • Shin ana ɗaukar wannan a matsayin harin hana sabis?

Imel ɗin da ba a nema ba

Misali: ka yi ƙoƙarin bayar da rahoton matsalar tsaro ga mutanen da ke kamfanin waɗanda kake ganin sun dace, kuma ka gano su ta hanyar bincike a LinkedIn, Facebook, da sauransu, ko ta amfani da ƙa'idojin suna kamar "webmaster@example.com" ko "security@example.com".

  • Shin wannan ya dace?

  • Shin ana ɗaukar wannan a matsayin imel ɗin da ba a nema ba?

  • Shin ana ɗaukar wannan a matsayin imel marar izini?

Rukunan da aka cire

Misali: kana cikin rukunin da aka cire, kamar kasancewa ƙarami, ko kasancewa cikin jerin takunkumi, ko kasancewa a ƙasar da ke cikin jerin takunkumi.

  • Shin ya dace ka yi rahoto?

  • Shin ya dace a yi rahoto ba tare da bayyana suna ba?

  • Shin ya dace da gangan a canja bayanan da za su iya bayyana ainihi, misali don guje wa rukunin da aka cire, da manufar taimaka wa bayyanawar ta isa ga mutanen da suka dace?

Wani ɓangare na uku

Misali: ka gano cewa manhajar kamfani tana da kuskure da ya shafi wani ɓangare na uku, kamar haɗin gwiwa da wata manhaja ko wani shafin yanar gizo.

  • Shin ya dace ka bayar da dukkan bayanan da ka samu ga ɓangarorin biyu?

  • Shin wajibi ne a yi bayyanawa cikin alhaki biyu daban-daban, misali rahoto ɗaya ga wani kamfani, da rahoto daban ga kamfanin ɓangare na uku, da manufar iyakance bayanan da ake aika wa kowane kamfani?

  • Shin ya dace mai ganowa ya haɗa kamfanonin da juna?

Manhaja mai kawo cikas

Misali: kana da ƙwarewar da za ka iya rubuta ƙwayar cuta wadda kake ganin tana iya taimaka wa masu amfani su kare kansu daga haɗarin tsaron, ko su gano ko suna cikin haɗari, ko su gyara haɗarin tsaron.

  • Shin ya dace?

  • Shin ya dace mai ganowa ya nuna wa masu amfani manhaja irin wannan, da/ko jagorori ko koyarwa da ke bayyana yadda ake ƙirƙirar irin wannan manhaja?

Bayyana rashin tsaro a haɗin gwiwa da bayyanawa cikin alhaki

Bayyana rashin tsaro a haɗin gwiwa ita ce kalmar da aka fi so.

  • Mafi muhimmanci shi ne haɗin gwiwa tsakanin mai ganowa da mai samarwa.

Bayyanawa cikin alhaki kalma ce da aka daina amfani da ita.

  • Mutane suna da ra'ayoyi daban-daban game da ma'anar kasancewa mai alhaki. Misali, wasu suna ba da shawarar cewa alhaki ne ga mai ganowa ya sanar da jama'a nan take ba tare da la'akari da wata mu'amala da mai samarwa ba, kuma rashin alhaki ne yin bayyana rashin tsaro a haɗin gwiwa saboda yana ɓoye bayanai daga jama'a.

Bin diddigi