דוגמה לחשיפת פגיעויות של ResponsibleDisclosure.nl

ב-Acme Corporation אנו רואים באבטחת המערכות שלנו עדיפות עליונה. אבל לא משנה כמה מאמץ אנו משקיעים באבטחת המערכות, עדיין עשויות להיות פגיעויות.

אם גיליתם פגיעות, נרצה לדעת עליה כדי שנוכל לנקוט צעדים לטפל בה במהירות האפשרית.

נרצה לבקש מכם לעזור לנו להגן טוב יותר על הלקוחות והמערכות שלנו.

אנא עשו את הדברים הבאים:

• שלחו את הממצאים שלכם בדוא"ל אל cert@example.com. הצפינו את הממצאים שלכם באמצעות מפתח ה-PGP שלנו כדי למנוע ממידע קריטי זה ליפול לידיים הלא נכונות,

• אל תנצלו את הפגיעות או הבעיה שגיליתם, למשל על ידי הורדת יותר נתונים מהנדרש כדי להדגים את הפגיעות או מחיקה או שינוי של נתוני אנשים אחרים,

• אל תחשפו את הבעיה לאחרים עד שתיפתר,

• אל תשתמשו בהתקפות על אבטחה פיזית, הנדסה חברתית, מניעת שירות מבוזרת, ספאם או יישומים של צדדים שלישיים, וכן

• ספקו מידע מספיק כדי לשחזר את הבעיה, כך שנוכל לפתור אותה במהירות האפשרית. בדרך כלל כתובת ה-IP או ה-URL של המערכת המושפעת ותיאור הפגיעות יספיקו, אך פגיעויות מורכבות עשויות לדרוש הסבר נוסף.

מה אנו מבטיחים:

• נשיב לדיווח שלכם בתוך 3 ימי עסקים עם הערכתנו את הדיווח ותאריך פתרון צפוי,

• אם פעלתם לפי ההוראות לעיל, לא ננקוט שום פעולה משפטית נגדכם בנוגע לדיווח,

• נטפל בדיווח שלכם בסודיות קפדנית, ולא נעביר את פרטיכם האישיים לצדדים שלישיים ללא רשותכם,

• נעדכן אתכם בהתקדמות לקראת פתרון הבעיה,

• במידע הציבורי בנוגע לבעיה שדווחה, ניתן את שמכם כמגלה הבעיה (אלא אם תרצו אחרת), וכן

• כאות תודה על עזרתכם, אנו מציעים תגמול על כל דיווח על בעיית אבטחה שעדיין לא הייתה ידועה לנו. גובה התגמול ייקבע לפי חומרת הדליפה ואיכות הדיווח. התגמול המינימלי יהיה שובר מתנה בסך 50 €.

אנו שואפים לפתור את כל הבעיות במהירות האפשרית, ונרצה למלא תפקיד פעיל בפרסום הסופי על הבעיה לאחר שתיפתר.

טקסט זה נכתב על ידי Floor Terra ומפורסם ברישיון Creative Commons Attribution 3.0 Unported.