Przykład ujawniania podatności ResponsibleDisclosure.nl

W Acme Corporation uważamy bezpieczeństwo naszych systemów za najwyższy priorytet. Ale bez względu na to, ile wysiłku wkładamy w bezpieczeństwo systemów, nadal mogą występować podatności.

Jeśli odkryjesz podatność, chcielibyśmy o niej wiedzieć, abyśmy mogli podjąć kroki w celu jak najszybszego jej usunięcia.

Chcielibyśmy cię prosić o pomoc w lepszej ochronie naszych klientów i naszych systemów.

Prosimy o wykonanie następujących czynności:

• Wyślij swoje ustalenia e-mailem na adres cert@example.com. Zaszyfruj swoje ustalenia naszym kluczem PGP, aby zapobiec dostaniu się tych krytycznych informacji w niepowołane ręce,

• Nie wykorzystuj odkrytej podatności ani problemu, na przykład pobierając więcej danych, niż to konieczne do wykazania podatności, ani usuwając lub modyfikując dane innych osób,

• Nie ujawniaj problemu innym, dopóki nie zostanie rozwiązany,

• Nie stosuj ataków na bezpieczeństwo fizyczne, socjotechniki, rozproszonej odmowy usługi, spamu ani aplikacji stron trzecich, oraz

• Podaj wystarczające informacje do odtworzenia problemu, abyśmy mogli go rozwiązać jak najszybciej. Zwykle wystarczy adres IP lub adres URL dotkniętego systemu oraz opis podatności, ale złożone podatności mogą wymagać dalszych wyjaśnień.

Co obiecujemy:

• Odpowiemy na twoje zgłoszenie w ciągu 3 dni roboczych, przedstawiając naszą ocenę zgłoszenia i przewidywaną datę rozwiązania,

• Jeśli zastosowałeś się do powyższych instrukcji, nie podejmiemy wobec ciebie żadnych kroków prawnych w związku ze zgłoszeniem,

• Będziemy traktować twoje zgłoszenie z zachowaniem ścisłej poufności i nie przekażemy twoich danych osobowych stronom trzecim bez twojej zgody,

• Będziemy informować cię o postępach w rozwiązywaniu problemu,

• W publicznych informacjach dotyczących zgłoszonego problemu podamy twoje imię i nazwisko jako odkrywcy problemu (chyba że sobie tego nie życzysz), oraz

• Na znak wdzięczności za twoją pomoc oferujemy nagrodę za każde zgłoszenie problemu z bezpieczeństwem, który nie był jeszcze nam znany. Wysokość nagrody zostanie ustalona na podstawie wagi wycieku i jakości zgłoszenia. Minimalną nagrodą będzie bon podarunkowy o wartości 50 €.

Dążymy do rozwiązania wszystkich problemów jak najszybciej i chcielibyśmy odegrać aktywną rolę w ostatecznej publikacji na temat problemu po jego rozwiązaniu.

Ten tekst został napisany przez Floor Terra i jest opublikowany na licencji Creative Commons Attribution 3.0 Unported.