Coordinated vulnerability disclosure
← Политики

Пример раскрытия уязвимостей от ResponsibleDisclosure.nl

В Acme Corporation мы считаем безопасность наших систем главным приоритетом. Но сколько бы усилий мы ни прилагали к безопасности систем, уязвимости всё равно могут присутствовать.

Если вы обнаружили уязвимость, мы хотели бы знать о ней, чтобы принять меры для её устранения как можно скорее.

Мы просим вас помочь нам лучше защищать наших клиентов и наши системы.

Пожалуйста, сделайте следующее:

  • Отправьте свои находки по электронной почте на cert@example.com. Зашифруйте свои находки нашим ключом PGP, чтобы эта критически важная информация не попала в чужие руки,

  • Не пользуйтесь обнаруженной вами уязвимостью или проблемой, например скачивая больше данных, чем необходимо для демонстрации уязвимости, или удаляя либо изменяя чужие данные,

  • Не раскрывайте проблему другим, пока она не будет решена,

  • Не применяйте атаки на физическую безопасность, социальную инженерию, распределённый отказ в обслуживании, спам или приложения третьих сторон, и

  • Предоставьте достаточно информации для воспроизведения проблемы, чтобы мы смогли решить её как можно скорее. Обычно достаточно IP-адреса или URL затронутой системы и описания уязвимости, но для сложных уязвимостей могут потребоваться дополнительные пояснения.

Что мы обещаем:

  • Мы ответим на ваше сообщение в течение 3 рабочих дней, указав нашу оценку сообщения и ожидаемую дату решения,

  • Если вы следовали приведённым выше инструкциям, мы не будем предпринимать никаких юридических действий против вас в связи с сообщением,

  • Мы будем обрабатывать ваше сообщение в строгой конфиденциальности и не передадим ваши персональные данные третьим лицам без вашего разрешения,

  • Мы будем держать вас в курсе прогресса в решении проблемы,

  • В публичной информации о сообщённой проблеме мы назовём ваше имя как обнаружившего проблему (если вы не пожелаете иначе), и

  • В знак нашей благодарности за вашу помощь мы предлагаем вознаграждение за каждое сообщение о проблеме безопасности, которая ещё не была нам известна. Размер вознаграждения будет определяться исходя из серьёзности утечки и качества сообщения. Минимальное вознаграждение — подарочный сертификат на 50 евро.

Мы стремимся решить все проблемы как можно скорее и хотели бы играть активную роль в окончательной публикации о проблеме после её решения.

Этот текст написан Floor Terra и опубликован под лицензией Creative Commons Attribution 3.0 Unported.