ResponsibleDisclosure.nl sebezhetőség-közzétételi példa

Az Acme Corporationnél rendszereink biztonságát elsődleges prioritásnak tekintjük. De bármennyi erőfeszítést fektetünk is a rendszerek biztonságába, még mindig lehetnek sebezhetőségek.

Ha sebezhetőséget fedez fel, szeretnénk tudni róla, hogy lépéseket tehessünk a lehető leggyorsabb kezelése érdekében.

Szeretnénk megkérni, hogy segítsen nekünk jobban megvédeni ügyfeleinket és rendszereinket.

Kérjük, tegye a következőket:

• Küldje el megállapításait e-mailben a cert@example.com címre. Titkosítsa megállapításait a PGP-kulcsunkkal, hogy megakadályozza, hogy ez a kritikus információ rossz kezekbe kerüljön,

• Ne használja ki a felfedezett sebezhetőséget vagy problémát, például azzal, hogy a sebezhetőség bemutatásához szükségesnél több adatot tölt le, vagy másoknak az adatait törli vagy módosítja,

• Ne fedje fel a problémát másoknak, amíg meg nem oldották,

• Ne alkalmazzon fizikai biztonság elleni támadásokat, social engineeringet, elosztott szolgáltatásmegtagadást, spamet vagy harmadik felek alkalmazásait, és

• Adjon elegendő információt a probléma reprodukálásához, hogy a lehető leggyorsabban meg tudjuk oldani. Általában az érintett rendszer IP-címe vagy URL-je és a sebezhetőség leírása elegendő lesz, de az összetett sebezhetőségek további magyarázatot igényelhetnek.

Amit ígérünk:

• 3 munkanapon belül válaszolunk a jelentésére a jelentés értékelésével és a várható megoldási dátummal,

• Ha betartotta a fenti utasításokat, nem teszünk jogi lépéseket Ön ellen a jelentéssel kapcsolatban,

• Jelentését szigorú bizalmassággal kezeljük, és személyes adatait az Ön engedélye nélkül nem adjuk tovább harmadik feleknek,

• Tájékoztatjuk Önt a probléma megoldása felé tett előrehaladásról,

• A jelentett problémával kapcsolatos nyilvános információkban megadjuk az Ön nevét a probléma felfedezőjeként (hacsak nem kíván mást), és

• Segítségéért hálánk jeléül jutalmat ajánlunk minden olyan biztonsági probléma jelentéséért, amely még nem volt ismert számunkra. A jutalom összegét a szivárgás súlyossága és a jelentés minősége alapján határozzuk meg. A minimális jutalom egy 50 € értékű ajándékutalvány lesz.

Igyekszünk minden problémát a lehető leggyorsabban megoldani, és aktív szerepet szeretnénk játszani a problémáról szóló végső közzétételben, miután megoldották.

Ezt a szöveget Floor Terra írta, és Creative Commons Attribution 3.0 Unported licenc alatt tették közzé.