ตัวอย่างการเปิดเผยช่องโหว่ของ ResponsibleDisclosure.nl

ที่ Acme Corporation เราถือว่าความปลอดภัยของระบบของเราเป็นสิ่งสำคัญอันดับต้น แต่ไม่ว่าเราจะทุ่มเทความพยายามกับความปลอดภัยของระบบมากเพียงใด ก็ยังอาจมีช่องโหว่อยู่ได้

หากคุณค้นพบช่องโหว่ เราอยากทราบเพื่อที่จะได้ดำเนินการแก้ไขโดยเร็วที่สุด

เราขอให้คุณช่วยเราปกป้องลูกค้าและระบบของเราให้ดียิ่งขึ้น

โปรดทำดังนี้:

• ส่งอีเมลผลการค้นพบของคุณไปที่ cert@example.com เข้ารหัสผลการค้นพบของคุณด้วยกุญแจ PGP ของเรา เพื่อป้องกันไม่ให้ข้อมูลสำคัญนี้ ตกไปอยู่ในมือที่ไม่ถูกต้อง

• อย่าใช้ประโยชน์จากช่องโหว่หรือปัญหาที่คุณค้นพบ เช่น ดาวน์โหลดข้อมูลมากกว่าที่จำเป็น เพื่อแสดงให้เห็นช่องโหว่ หรือลบหรือแก้ไขข้อมูลของผู้อื่น

• อย่าเปิดเผยปัญหาให้ผู้อื่นทราบจนกว่าจะแก้ไขเรียบร้อยแล้ว

• อย่าใช้การโจมตีต่อความปลอดภัยทางกายภาพ วิศวกรรมสังคม การโจมตีแบบปฏิเสธการให้บริการแบบกระจาย (DDoS) สแปม หรือแอปพลิเคชันของบุคคลที่สาม และ

• โปรดให้ข้อมูลที่เพียงพอเพื่อจำลองปัญหาซ้ำได้ เราจะได้แก้ไขได้เร็วที่สุด โดยปกติ ที่อยู่ IP หรือ URL ของระบบที่ได้รับผลกระทบและคำอธิบายช่องโหว่ก็เพียงพอแล้ว แต่ช่องโหว่ที่ซับซ้อนอาจ ต้องมีคำอธิบายเพิ่มเติม

สิ่งที่เราสัญญา:

• เราจะตอบรายงานของคุณภายใน 3 วันทำการ พร้อมการประเมินรายงานและวันที่คาดว่าจะแก้ไขเสร็จ

• หากคุณปฏิบัติตามคำแนะนำข้างต้น เราจะไม่ดำเนินการทางกฎหมายใด ๆ ต่อคุณเกี่ยวกับรายงานนั้น

• เราจะจัดการรายงานของคุณด้วยการรักษาความลับอย่างเข้มงวด และจะไม่ส่งต่อรายละเอียดส่วนตัวของคุณให้บุคคลที่สามโดยไม่ได้รับอนุญาตจากคุณ

• เราจะแจ้งความคืบหน้าในการแก้ไขปัญหาให้คุณทราบ

• ในข้อมูลสาธารณะเกี่ยวกับปัญหาที่รายงาน เราจะระบุชื่อคุณเป็นผู้ค้นพบปัญหา (เว้นแต่คุณต้องการเป็นอย่างอื่น) และ

• เพื่อแสดงความขอบคุณสำหรับความช่วยเหลือของคุณ เรามอบรางวัลสำหรับรายงานปัญหาความปลอดภัยทุกรายงานที่เรายังไม่ทราบมาก่อน จำนวนเงินรางวัลจะกำหนดตามความรุนแรงของการรั่วไหลและคุณภาพของรายงาน รางวัลขั้นต่ำ คือบัตรของขวัญมูลค่า 50 ยูโร

เรามุ่งมั่นแก้ไขปัญหาทั้งหมดให้เร็วที่สุด และเราต้องการมีบทบาทเชิงรุกในการเผยแพร่เรื่องปัญหาในขั้นสุดท้าย หลังจากแก้ไขเสร็จแล้ว

ข้อความนี้เขียนโดย Floor Terra และเผยแพร่ภายใต้สัญญาอนุญาต Creative Commons Attribution 3.0 Unported