ResponsibleDisclosure.nl: Primjer otkrivanja ranjivosti

U tvrtki Acme Corporation sigurnost naših sustava smatramo najvažnijim prioritetom. No koliko god truda ulagali u sigurnost sustava, ranjivosti i dalje mogu postojati.

Ako otkrijete ranjivost, željeli bismo znati za nju kako bismo poduzeli korake da je otklonimo što je brže moguće.

Željeli bismo vas zamoliti da nam pomognete bolje zaštititi naše klijente i naše sustave.

Molimo učinite sljedeće:

• Pošaljite svoje nalaze e-poštom na cert@example.com. Šifrirajte svoje nalaze našim PGP ključem kako ta kritična informacija ne bi dospjela u pogrešne ruke,

• Ne iskorištavajte otkrivenu ranjivost ili problem, primjerice preuzimanjem više podataka nego što je potrebno za demonstraciju ranjivosti ili brisanjem ili izmjenom tuđih podataka,

• Ne otkrivajte problem drugima dok ne bude riješen,

• Ne koristite napade na fizičku sigurnost, društveni inženjering, distribuirano uskraćivanje usluge, neželjenu poštu ni aplikacije trećih strana, i

• Dajte dovoljno informacija za reprodukciju problema kako bismo ga mogli riješiti što je brže moguće. Obično su dovoljni IP adresa ili URL pogođenog sustava i opis ranjivosti, no složene ranjivosti mogu zahtijevati dodatno objašnjenje.

Što obećavamo:

• Odgovorit ćemo na vaše izvješće u roku od 3 radna dana s našom procjenom izvješća i očekivanim datumom rješenja,

• Ako ste slijedili gornje upute, nećemo poduzeti nikakve pravne radnje protiv vas u vezi s izvješćem,

• Vaše ćemo izvješće obraditi uz strogu povjerljivost i nećemo prosljeđivati vaše osobne podatke trećim stranama bez vašeg dopuštenja,

• Obavještavat ćemo vas o napretku prema rješenju problema,

• U javnim informacijama o prijavljenom problemu navest ćemo vaše ime kao otkrivača problema (osim ako ne želite drukčije), i

• Kao znak zahvalnosti za vašu pomoć nudimo nagradu za svako izvješće o sigurnosnom problemu koji nam još nije bio poznat. Iznos nagrade odredit će se na temelju ozbiljnosti curenja i kvalitete izvješća. Minimalna nagrada bit će poklon-bon od 50 €.

Nastojimo sve probleme riješiti što je brže moguće i željeli bismo imati aktivnu ulogu u konačnoj objavi o problemu nakon što bude riješen.

Ovaj tekst napisala je Floor Terra i objavljen je pod licencom Creative Commons Imenovanje 3.0 neprilagođeno (Attribution 3.0 Unported).