Bits of Freedom - 협조적 취약점 공개

디지털 인프라에 대한 저희의 의존도는 계속 높아지고 있습니다. 이는 사회 전체에 해당하지만 저희 자신에게도 해당합니다. 따라서 정부와 조직(저희 조직 포함)이 디지털 인프라를 안전하게 지키는 데 강하게 헌신해야 한다는 것이 저희의 생각입니다. 최선의 의도와 최대한의 주의를 기울이더라도 저희 시스템에 취약점이 존재할 수 있음을 저희는 알고 있습니다. 이러한 약점 중 하나를 발견하셨다면 문제를 해결할 수 있도록 꼭 연락해 주세요.

저희가 귀하에게 기대하는 것

• 저희 시스템 중 하나를 조사할 때는 공격의 비례성을 염두에 두세요. 저희 웹사이트에 인터넷 역사상 가장 큰 DDoS 공격을 가하면 사이트에 접속할 수 없게 될 수 있다는 것을 입증할 필요는 없습니다. 저희도 알고 있습니다. 또한 불도저를 몰고 저희 사무실에 돌진하면 아마 노트북 한 대쯤은 낚아챌 수 있다는 것도 이해합니다.

• 이 비례성의 원칙은 취약점 자체를 입증할 때에도 적용됩니다. 발견한 내용이 타당한지 확인하는 데 엄격히 필요한 것보다 많은 데이터를 조사하거나 수정해서는 안 됩니다. 예를 들어 저희 홈페이지를 수정할 수 있다면 페이지 전체를 장악하는 대신 논란의 소지가 없는 단어 하나만 추가하세요. 데이터베이스에 접근할 수 있다면 그 안에 있는 테이블 목록, 또는 그중 한 테이블의 첫 번째 레코드를 보여 주는 것으로 충분합니다.

• 저희 시스템의 취약점은 security@bof.nl로 이메일을 보내 가능한 한 빨리 보고해야 합니다. 가능하면 OpenPGP로 메시지를 암호화해 주세요. 저희가 문제를 재현하고 조사할 수 있도록 충분한 정보를 제공해 주세요.

• security@bof.nl의 OpenPGP 공개 키

• 저희가 문제를 해결하지 않았고 귀하가 문제를 보고한 이후 아직 합리적인 기간 안에 있는 동안에는 취약점에 대한 지식을 다른 당사자와 공유하지 않아야 합니다.

• 저희가 취약점을 해결하는 대로 조사 중에 얻은 모든 기밀 정보를 삭제해야 합니다.

귀하가 저희에게 기대할 수 있는 것

• 보고 후 3일 이내에 상세하게 응답하겠습니다. 문제를 해결하는 데 필요한 예상 시간도 포함하겠습니다. 물론 진행 상황을 정기적으로 알려 드리겠습니다.

• 취약점을 가능한 한 빨리 해결하겠습니다. 여기서도 비례성이 중요합니다. 취약점을 고치는 데 필요한 시간은 문제의 심각도와 복잡도를 비롯한 여러 요인에 따라 달라집니다.

• 여기에 제시된 지침을 따르신다면 보고와 관련하여 귀하에 대해 법적 조치를 취하지 않겠습니다.

• 원하신다면 귀하가 한 일에 대해 공로를 인정하는 것이 저희에게 중요합니다. 귀하가 동의하는 경우에만 취약점에 관한 게시물에 귀하의 이름을 언급하겠습니다.

• 저희 시스템을 더 잘 보호하도록 도와 주신 것에 대한 감사로, 당시 저희가 알지 못했던 취약점의 모든 보고에 보상을 드리고자 합니다. 보상은 취약점의 심각도와 보고서의 품질에 따라 달라집니다.

• 저희가 사용하는 제3자 소프트웨어에서 취약점을 발견했고 그 취약점이 버그 바운티 프로그램의 대상이라면, 저희는 그 바운티를 청구하려 하지 않을 것입니다. 귀하가 청구하셔야 합니다.