Coordinated vulnerability disclosureResponsibleDisclosure.nl: Príklad zverejňovania zraniteľností
V spoločnosti Acme Corporation považujeme bezpečnosť našich systémov za najvyššiu prioritu. Nech však vynaložíme akékoľvek úsilie na bezpečnosť systémov, zraniteľnosti môžu stále existovať.
Ak objavíte zraniteľnosť, radi by sme o nej vedeli, aby sme mohli podniknúť kroky na jej čo najrýchlejšie vyriešenie.
Chceme vás požiadať, aby ste nám pomohli lepšie chrániť našich klientov a naše systémy.
Prosíme, urobte nasledovné:
Pošlite svoje zistenia e-mailom na cert@example.com. Zašifrujte svoje zistenia pomocou nášho kľúča PGP, aby sa tieto kritické informácie nedostali do nesprávnych rúk,
Nezneužívajte zraniteľnosť ani problém, ktorý ste objavili, napríklad sťahovaním väčšieho množstva údajov, než je nevyhnutné na preukázanie zraniteľnosti, alebo vymazávaním či úpravou údajov iných ľudí,
Nezverejňujte problém iným, kým nie je vyriešený,
Nepoužívajte útoky na fyzickú bezpečnosť, sociálne inžinierstvo, distribuované odmietnutie služby, spam ani aplikácie tretích strán, a
Poskytnite dostatok informácií na reprodukciu problému, aby sme ho mohli vyriešiť čo najrýchlejšie. Zvyčajne postačuje IP adresa alebo URL postihnutého systému a opis zraniteľnosti, no zložité zraniteľnosti si môžu vyžadovať ďalšie vysvetlenie.
Čo sľubujeme:
Na vaše hlásenie odpovieme do 3 pracovných dní s naším vyhodnotením hlásenia a očakávaným dátumom vyriešenia,
Ak ste dodržali vyššie uvedené pokyny, nepodnikneme voči vám v súvislosti s hlásením žiadne právne kroky,
S vaším hlásením naložíme prísne dôverne a vaše osobné údaje neposkytneme tretím stranám bez vášho súhlasu,
Budeme vás informovať o pokroku pri riešení problému,
Vo verejných informáciách o nahlásenom probléme uvedieme vaše meno ako objaviteľa problému (pokiaľ si neželáte inak), a
Ako prejav vďaky za vašu pomoc ponúkame odmenu za každé hlásenie bezpečnostného problému, ktorý nám ešte nebol známy. Výška odmeny sa určí podľa závažnosti úniku a kvality hlásenia. Minimálnou odmenou bude darčeková poukážka v hodnote 50 €.
Snažíme sa vyriešiť všetky problémy čo najrýchlejšie a radi by sme sa aktívne podieľali na konečnom zverejnení informácií o probléme po jeho vyriešení.
Tento text napísala Floor Terra a je zverejnený pod licenciou Creative Commons Attribution 3.0 Unported.