Exemplu de divulgare a vulnerabilităților ResponsibleDisclosure.nl

La Acme Corporation, considerăm securitatea sistemelor noastre o prioritate maximă. Dar indiferent cât de mult efort depunem pentru securitatea sistemelor, pot exista totuși vulnerabilități.

Dacă descoperiți o vulnerabilitate, am dori să știm despre ea pentru a putea lua măsuri de remediere cât mai repede posibil.

Am dori să vă cerem să ne ajutați să ne protejăm mai bine clienții și sistemele.

Vă rugăm să faceți următoarele:

• Trimiteți constatările dumneavoastră prin e-mail la cert@example.com. Criptați constatările folosind cheia noastră PGP pentru a preveni ca aceste informații critice să cadă în mâinile greșite,

• Nu profitați de vulnerabilitatea sau problema pe care ați descoperit-o, de exemplu descărcând mai multe date decât este necesar pentru a demonstra vulnerabilitatea sau ștergând ori modificând datele altor persoane,

• Nu dezvăluiți problema altora până când nu a fost rezolvată,

• Nu folosiți atacuri asupra securității fizice, inginerie socială, refuz distribuit al serviciului, spam sau aplicații ale unor terți, și

• Furnizați informații suficiente pentru a reproduce problema, astfel încât să o putem rezolva cât mai repede posibil. De obicei, adresa IP sau URL-ul sistemului afectat și o descriere a vulnerabilității vor fi suficiente, dar vulnerabilitățile complexe pot necesita explicații suplimentare.

Ce promitem:

• Vom răspunde raportului dumneavoastră în 3 zile lucrătoare cu evaluarea noastră a raportului și o dată estimată de rezolvare,

• Dacă ați urmat instrucțiunile de mai sus, nu vom lua nicio măsură legală împotriva dumneavoastră cu privire la raport,

• Vă vom trata raportul cu strictă confidențialitate și nu vom transmite detaliile dumneavoastră personale către terți fără permisiunea dumneavoastră,

• Vă vom ține la curent cu progresul către rezolvarea problemei,

• În informațiile publice privind problema raportată, vă vom da numele ca descoperitor al problemei (cu excepția cazului în care doriți altfel), și

• Ca semn al recunoștinței noastre pentru ajutorul dumneavoastră, oferim o recompensă pentru fiecare raport al unei probleme de securitate care nu ne era încă cunoscută. Valoarea recompensei va fi determinată în funcție de gravitatea scurgerii și calitatea raportului. Recompensa minimă va fi un card cadou de 50 €.

Ne străduim să rezolvăm toate problemele cât mai repede posibil și am dori să jucăm un rol activ în publicarea finală despre problemă după ce aceasta este rezolvată.

Acest text este scris de Floor Terra și este publicat sub licența Creative Commons Attribution 3.0 Unported.