Exemplo de divulgação de vulnerabilidades do ResponsibleDisclosure.nl

Na Acme Corporation, consideramos a segurança dos nossos sistemas uma prioridade máxima. Mas, por muito esforço que dediquemos à segurança dos sistemas, ainda pode haver vulnerabilidades presentes.

Se descobrir uma vulnerabilidade, gostaríamos de saber para podermos tomar medidas para a resolver o mais depressa possível.

Gostaríamos de lhe pedir que nos ajude a proteger melhor os nossos clientes e os nossos sistemas.

Faça o seguinte:

• Envie as suas descobertas por correio eletrónico para cert@example.com. Cifre as suas descobertas com a nossa chave PGP para evitar que esta informação crítica caia em mãos erradas,

• Não tire partido da vulnerabilidade ou do problema que descobriu, por exemplo descarregando mais dados do que o necessário para demonstrar a vulnerabilidade ou apagando ou modificando dados de outras pessoas,

• Não revele o problema a outros até que esteja resolvido,

• Não use ataques à segurança física, engenharia social, negação de serviço distribuída, spam ou aplicações de terceiros, e

• Forneça informação suficiente para reproduzir o problema, para que possamos resolvê-lo o mais depressa possível. Normalmente, o endereço IP ou o URL do sistema afetado e uma descrição da vulnerabilidade serão suficientes, mas vulnerabilidades complexas podem exigir uma explicação adicional.

O que prometemos:

• Responderemos ao seu relatório no prazo de 3 dias úteis com a nossa avaliação do relatório e uma data prevista de resolução,

• Se seguiu as instruções acima, não tomaremos qualquer medida legal contra si em relação ao relatório,

• Trataremos o seu relatório com estrita confidencialidade e não transmitiremos os seus dados pessoais a terceiros sem a sua permissão,

• Mantê-lo-emos informado do progresso na resolução do problema,

• Na informação pública relativa ao problema comunicado, indicaremos o seu nome como descobridor do problema (a menos que deseje o contrário), e

• Como prova da nossa gratidão pela sua ajuda, oferecemos uma recompensa por cada relatório de um problema de segurança que ainda não nos fosse conhecido. O valor da recompensa será determinado com base na gravidade da fuga e na qualidade do relatório. A recompensa mínima será um cartão-presente de 50 €.

Esforçamo-nos por resolver todos os problemas o mais depressa possível e gostaríamos de desempenhar um papel ativo na publicação final sobre o problema depois de resolvido.

Este texto foi escrito por Floor Terra e é publicado com uma licença Creative Commons Attribution 3.0 Unported.