Voorbeeld van kwetsbaarheidsmelding van ResponsibleDisclosure.nl

Bij Acme Corporation beschouwen we de beveiliging van onze systemen als topprioriteit. Maar hoeveel moeite we ook in systeembeveiliging steken, er kunnen nog steeds kwetsbaarheden aanwezig zijn.

Als je een kwetsbaarheid ontdekt, willen we dat graag weten zodat we maatregelen kunnen nemen om deze zo snel mogelijk aan te pakken.

We willen je vragen ons te helpen onze klanten en onze systemen beter te beschermen.

Doe het volgende:

• Mail je bevindingen naar cert@example.com. Versleutel je bevindingen met onze PGP-sleutel om te voorkomen dat deze kritieke informatie in verkeerde handen valt,

• Maak geen misbruik van de kwetsbaarheid of het probleem dat je hebt ontdekt, bijvoorbeeld door meer gegevens te downloaden dan nodig is om de kwetsbaarheid aan te tonen of door gegevens van anderen te verwijderen of te wijzigen,

• Maak het probleem niet bekend aan anderen totdat het is opgelost,

• Gebruik geen aanvallen op fysieke beveiliging, social engineering, distributed denial of service, spam of applicaties van derden, en

• Geef voldoende informatie om het probleem te reproduceren, zodat we het zo snel mogelijk kunnen oplossen. Meestal volstaan het IP-adres of de URL van het getroffen systeem en een beschrijving van de kwetsbaarheid, maar complexe kwetsbaarheden kunnen nadere uitleg vereisen.

Wat wij beloven:

• We reageren binnen 3 werkdagen op je melding met onze beoordeling van de melding en een verwachte oplossingsdatum,

• Als je de bovenstaande instructies hebt gevolgd, nemen we geen juridische stappen tegen je met betrekking tot de melding,

• We behandelen je melding strikt vertrouwelijk en geven je persoonlijke gegevens niet zonder jouw toestemming door aan derden,

• We houden je op de hoogte van de voortgang bij het oplossen van het probleem,

• In de openbare informatie over het gemelde probleem noemen we jouw naam als de ontdekker van het probleem (tenzij je anders wenst), en

• Als blijk van onze dankbaarheid voor je hulp bieden we een beloning voor elke melding van een beveiligingsprobleem dat ons nog niet bekend was. Het bedrag van de beloning wordt bepaald op basis van de ernst van het lek en de kwaliteit van de melding. De minimale beloning is een cadeaubon van €50.

We streven ernaar alle problemen zo snel mogelijk op te lossen en we willen graag een actieve rol spelen in de uiteindelijke publicatie over het probleem nadat het is opgelost.

Deze tekst is geschreven door Floor Terra en wordt gepubliceerd onder een Creative Commons Naamsvermelding 3.0 Unported-licentie.