ResponsibleDisclosure.nl 취약점 공개 예시

Acme Corporation은 저희 시스템의 보안을 최우선 과제로 생각합니다. 그러나 시스템 보안에 아무리 많은 노력을 기울여도 취약점이 존재할 수 있습니다.

취약점을 발견하셨다면, 가능한 한 빨리 해결할 조치를 취할 수 있도록 알려 주세요.

저희 고객과 시스템을 더 잘 보호할 수 있도록 도와 주시기를 부탁드립니다.

다음을 해 주세요:

• 발견한 내용을 cert@example.com으로 이메일로 보내 주세요. 이 중요한 정보가 잘못된 사람의 손에 들어가지 않도록 저희 PGP 키로 발견한 내용을 암호화해 주세요.

• 발견한 취약점이나 문제를 악용하지 마세요. 예를 들어 취약점을 입증하는 데 필요한 것보다 많은 데이터를 다운로드하거나 다른 사람의 데이터를 삭제하거나 수정하지 마세요.

• 문제가 해결될 때까지 다른 사람에게 문제를 알리지 마세요.

• 물리적 보안 공격, 사회공학, 분산 서비스 거부, 스팸 또는 제3자의 애플리케이션을 사용하지 마세요.

• 문제를 재현할 수 있는 충분한 정보를 제공해 주세요. 그래야 가능한 한 빨리 해결할 수 있습니다. 보통은 영향을 받는 시스템의 IP 주소나 URL과 취약점에 대한 설명이면 충분하지만, 복잡한 취약점은 추가 설명이 필요할 수 있습니다.

저희의 약속:

• 보고서에 대한 저희의 평가와 예상 해결일을 담아 영업일 3일 이내에 응답하겠습니다.

• 위 지침을 따르셨다면 보고와 관련하여 귀하에 대해 어떠한 법적 조치도 취하지 않겠습니다.

• 보고서는 엄격히 기밀로 처리하며, 귀하의 허락 없이 개인 정보를 제3자에게 전달하지 않겠습니다.

• 문제 해결의 진행 상황을 계속 알려 드리겠습니다.

• 보고된 문제에 관한 공개 정보에서, (달리 원하지 않으시는 한) 문제의 발견자로서 귀하의 이름을 밝히겠습니다.

• 도움에 대한 감사의 표시로, 아직 저희가 알지 못했던 보안 문제를 보고해 주실 때마다 보상을 드립니다. 보상 금액은 유출의 심각도와 보고서의 품질에 따라 결정됩니다. 최소 보상은 50유로 상품권입니다.

저희는 모든 문제를 가능한 한 빨리 해결하기 위해 노력하며, 문제가 해결된 후 최종 게시에서 적극적인 역할을 하고자 합니다.

이 글은 Floor Terra가 작성했으며 Creative Commons Attribution 3.0 Unported 라이선스로 공개되어 있습니다.