Coordinated vulnerability disclosureResponsibleDisclosure.nl: primer razkrivanja ranljivosti
V družbi Acme Corporation varnost svojih sistemov štejemo za najvišjo prednostno nalogo. A ne glede na to, koliko truda vložimo v varnost sistemov, ranljivosti še vedno lahko obstajajo.
Če odkrijete ranljivost, bi želeli to izvedeti, da lahko čim prej ukrepamo.
Prosimo vas, da nam pomagate bolje zaščititi naše stranke in sisteme.
Prosimo, storite naslednje:
Svoje ugotovitve pošljite po e-pošti na cert@example.com. Ugotovitve šifrirajte z našim ključem PGP, da te kritične informacije ne bi prišle v napačne roke,
Odkrite ranljivosti ali težave ne izkoriščajte, na primer s prenosom več podatkov, kot je potrebno za dokaz ranljivosti, ali z brisanjem ali spreminjanjem podatkov drugih ljudi,
Težave ne razkrivajte drugim, dokler ni rešena,
Ne uporabljajte napadov na fizično varnost, socialnega inženiringa, porazdeljene zavrnitve storitve, nezaželene pošte ali aplikacij tretjih oseb in
Navedite dovolj informacij za ponovitev težave, da jo bomo lahko rešili čim hitreje. Običajno zadostujeta naslov IP ali URL prizadetega sistema in opis ranljivosti, pri zapletenih ranljivostih pa so lahko potrebna dodatna pojasnila.
Kaj obljubljamo:
Na vaše poročilo bomo odgovorili v 3 delovnih dneh s svojo oceno poročila in pričakovanim datumom rešitve,
Če ste upoštevali zgornja navodila, zoper vas v zvezi s poročilom ne bomo sprožili nobenih pravnih postopkov,
Vaše poročilo bomo obravnavali strogo zaupno in vaših osebnih podatkov ne bomo posredovali tretjim osebam brez vašega dovoljenja,
O napredku pri reševanju težave vas bomo sproti obveščali,
V javnih informacijah o prijavljeni težavi bomo navedli vaše ime kot odkritelja težave (razen če želite drugače) in
V znak hvaležnosti za vašo pomoč ponujamo nagrado za vsako poročilo o varnostni težavi, ki nam še ni bila znana. Višina nagrade bo odvisna od resnosti uhajanja in kakovosti poročila. Najnižja nagrada bo darilni bon v vrednosti 50 €.
Prizadevamo si, da vse težave rešimo čim hitreje, in želimo imeti aktivno vlogo pri končni objavi o težavi po njeni rešitvi.
To besedilo je napisala Floor Terra in je objavljeno z licenco Creative Commons Attribution 3.0 Unported.