Exempel på röjande av sårbarheter från ResponsibleDisclosure.nl

På Acme Corporation anser vi att säkerheten i våra system är högsta prioritet. Men oavsett hur mycket arbete vi lägger på systemsäkerhet kan det fortfarande finnas sårbarheter.

Om du upptäcker en sårbarhet vill vi gärna få veta om den så att vi kan vidta åtgärder för att hantera den så snabbt som möjligt.

Vi vill be dig hjälpa oss att bättre skydda våra kunder och våra system.

Gör följande:

• Skicka dina fynd via e-post till cert@example.com. Kryptera dina fynd med vår PGP-nyckel för att förhindra att denna kritiska information hamnar i fel händer,

• Utnyttja inte den sårbarhet eller det problem du har upptäckt, till exempel genom att ladda ner mer data än vad som behövs för att visa sårbarheten eller genom att radera eller ändra andra människors data,

• Avslöja inte problemet för andra förrän det har lösts,

• Använd inte angrepp mot fysisk säkerhet, social manipulation, distribuerad överbelastning (DDoS), skräppost eller tredje parts applikationer, och

• Lämna tillräcklig information för att återskapa problemet, så att vi kan lösa det så snabbt som möjligt. Vanligtvis räcker IP-adressen eller URL:en till det berörda systemet och en beskrivning av sårbarheten, men komplexa sårbarheter kan kräva ytterligare förklaring.

Vad vi lovar:

• Vi svarar på din rapport inom 3 arbetsdagar med vår bedömning av rapporten och ett förväntat lösningsdatum,

• Om du har följt instruktionerna ovan vidtar vi inga rättsliga åtgärder mot dig med anledning av rapporten,

• Vi hanterar din rapport med strikt sekretess och lämnar inte vidare dina personuppgifter till tredje part utan ditt tillstånd,

• Vi håller dig informerad om framstegen mot att lösa problemet,

• I den offentliga informationen om det rapporterade problemet anger vi ditt namn som den som upptäckte problemet (om du inte vill något annat), och

• Som ett tecken på vår tacksamhet för din hjälp erbjuder vi en belöning för varje rapport om ett säkerhetsproblem som ännu inte var känt för oss. Belöningens storlek bestäms utifrån läckans allvarlighetsgrad och rapportens kvalitet. Den lägsta belöningen är ett presentkort på 50 euro.

Vi strävar efter att lösa alla problem så snabbt som möjligt, och vi vill gärna spela en aktiv roll i den slutliga publiceringen om problemet efter att det har lösts.

Denna text är skriven av Floor Terra och publiceras under en Creative Commons Attribution 3.0 Unported-licens.