ResponsibleDisclosure.nl ievainojamību atklāšanas piemērs

Acme Corporation mēs uzskatām savu sistēmu drošību par augstāko prioritāti. Taču neatkarīgi no tā, cik lielas pūles mēs ieguldām sistēmu drošībā, ievainojamības joprojām var būt.

Ja atklājat ievainojamību, mēs vēlētos par to zināt, lai varētu pēc iespējas ātrāk veikt pasākumus tās novēršanai.

Mēs vēlētos lūgt jūs palīdzēt mums labāk aizsargāt mūsu klientus un mūsu sistēmas.

Lūdzu, rīkojieties šādi:

• Nosūtiet savus atklājumus pa e-pastu uz cert@example.com. Šifrējiet savus atklājumus ar mūsu PGP atslēgu, lai šī kritiskā informācija nenonāktu nepareizās rokās,

• Neizmantojiet atklāto ievainojamību vai problēmu savā labā, piemēram, lejupielādējot vairāk datu, nekā nepieciešams ievainojamības demonstrēšanai, vai dzēšot vai pārveidojot citu cilvēku datus,

• Neatklājiet problēmu citiem, kamēr tā nav atrisināta,

• Neizmantojiet uzbrukumus fiziskajai drošībai, sociālo inženieriju, izkliedētu pakalpojumatteici, surogātpastu (spam) vai trešo pušu lietojumprogrammas, un

• Sniedziet pietiekamu informāciju problēmas atveidošanai, lai mēs to varētu atrisināt pēc iespējas ātrāk. Parasti skartās sistēmas IP adreses vai URL un ievainojamības apraksta ir pietiekami, taču sarežģītām ievainojamībām var būt nepieciešams papildu skaidrojums.

Ko mēs apsolām:

• Mēs atbildēsim uz jūsu ziņojumu 3 darbadienu laikā ar savu ziņojuma novērtējumu un paredzamo atrisināšanas datumu,

• Ja esat ievērojuši iepriekš minētos norādījumus, mēs nepieņemsim nekādus juridiskus pasākumus pret jums saistībā ar ziņojumu,

• Mēs apstrādāsim jūsu ziņojumu ar stingru konfidencialitāti un nenodosim jūsu personas datus trešajām pusēm bez jūsu atļaujas,

• Mēs informēsim jūs par progresu problēmas atrisināšanā,

• Publiskajā informācijā par ziņoto problēmu mēs norādīsim jūsu vārdu kā problēmas atklājēju (ja vien jūs nevēlaties citādi), un

• Kā pateicības zīmi par jūsu palīdzību mēs piedāvājam atlīdzību par katru ziņojumu par drošības problēmu, kas mums vēl nebija zināma. Atlīdzības apmērs tiks noteikts, pamatojoties uz noplūdes nopietnību un ziņojuma kvalitāti. Minimālā atlīdzība būs 50 € dāvanu karte.

Mēs cenšamies atrisināt visas problēmas pēc iespējas ātrāk, un mēs vēlētos aktīvi piedalīties galīgajā publikācijā par problēmu pēc tās atrisināšanas.

Šo tekstu ir uzrakstījusi Floor Terra, un tas ir publicēts ar Creative Commons Attribution 3.0 Unported licenci.