Coordinated vulnerability disclosureGitLab: Sera ya Ufichuaji wa Kuwajibika
- Mawasiliano: security@gitlab.com
- Tovuti: https://about.gitlab.com/disclosure/
- Imethibitishwa: 2017-09-21
Tafadhali tuma barua pepe kwa security@gitlab.com kuripoti udhaifu wowote wa usalama. Tutakiri kupokea ripoti yako ya udhaifu siku ya kazi inayofuata na tutajitahidi kukutumia taarifa za mara kwa mara kuhusu maendeleo yetu. Ikiwa una hamu ya kujua hali ya ufichuaji wako, tafadhali jisikie huru kututumia barua pepe tena. Ikiwa unataka kusimba kwa njia fiche barua pepe yako ya ufichuaji, tafadhali tutumie barua pepe kuomba ufunguo wetu wa PGP.
Vinginevyo, unaweza pia kututumia ripoti yako kupitia HackerOne.
Tafadhali epuka kuomba fidia kwa kuripoti udhaifu. Ukitaka, tutatoa shukrani za hadharani kwa ufichuaji wako wa kuwajibika. Pia tunajaribu kulifanya suala la siri kuwa la hadharani baada ya udhaifu kutangazwa; kwa mfano tazama suala letu la kipengele cha kuiga utambulisho. HackerOne pia huifanya ripoti ya hitilafu kuwa ya hadharani baada ya siku 30 ikiwa hakuna upande unaopinga; kwa mfano tazama ripoti ya XSS endelevu kwenye ukurasa wa mradi wa umma.
Hauruhusiwi kutafuta udhaifu kwenye GitLab.com yenyewe. GitLab ni programu huria, unaweza kusakinisha nakala mwenyewe na kujaribu dhidi yake. Unaweza kupakua CE, EE, au GitLab Development Kit. Ikiwa unataka kufanya majaribio bila kusanidi GitLab mwenyewe, tafadhali wasiliana nasi ili kupanga upatikanaji wa seva ya majaribio (staging).
Unaweza kupata maelezo zaidi kuhusu jinsi tunavyoshughulikia matoleo ya usalama hapa.
Kwenye tovuti yetu unaweza kupata zaidi kuhusu upatikanaji na usalama wa GitLab.com. Masuala ya usalama ambayo si udhaifu yanaweza kuonekana kwenye kifuatilizi chetu cha masuala cha umma.
Masuala ya siri
Udhaifu unapogunduliwa tunaunda suala la siri kuufuatilia ndani ya kampuni. Viraka vya usalama hutumwa kwenye dev.gitlab.org, ambayo haipatikani kwa umma, na kuunganishwa kwenye tawi la security. Visionekane kwenye GitLab.com hadi toleo la usalama litakapotangazwa na vifurushi vilivyosasishwa vipatikane.
Maelezo yanaweza kupatikana katika mchakato wetu wa toleo muhimu.