Приклад розкриття вразливостей ResponsibleDisclosure.nl

В Acme Corporation ми вважаємо безпеку наших систем першочерговим пріоритетом. Але скільки б зусиль ми не докладали до безпеки систем, вразливості все одно можуть існувати.

Якщо ви виявите вразливість, ми хочемо знати про неї, щоб вжити заходів для її усунення якнайшвидше.

Ми хочемо попросити вас допомогти нам краще захищати наших клієнтів і наші системи.

Будь ласка, зробіть таке:

Надішліть свої знахідки електронною поштою на cert@example.com. Зашифруйте свої знахідки нашим PGP-ключем, щоб ця критична інформація не потрапила в чужі руки,
Не користуйтеся вразливістю чи проблемою, яку ви виявили, наприклад, завантажуючи більше даних, ніж потрібно для демонстрації вразливості, або видаляючи чи змінюючи чужі дані,
Не розкривайте проблему іншим, доки її не буде розв'язано,
Не використовуйте атаки на фізичну безпеку, соціальну інженерію, розподілену відмову в обслуговуванні, спам чи застосунки третіх сторін, і
Надайте достатньо інформації для відтворення проблеми, щоб ми могли розв'язати її якнайшвидше. Зазвичай достатньо IP-адреси або URL ураженої системи та опису вразливості, але складні вразливості можуть потребувати додаткових пояснень.

Що ми обіцяємо:

Ми відповімо на ваш звіт протягом 3 робочих днів із нашою оцінкою звіту й очікуваною датою розв'язання,
Якщо ви дотримувалися наведених вище інструкцій, ми не вживатимемо жодних юридичних заходів проти вас щодо звіту,
Ми обробляватимемо ваш звіт зі строгою конфіденційністю й не передаватимемо ваші персональні дані третім сторонам без вашого дозволу,
Ми інформуватимемо вас про прогрес у розв'язанні проблеми,
У публічній інформації про повідомлену проблему ми вкажемо ваше ім'я як того, хто виявив проблему (якщо ви не побажаєте іншого), і
На знак вдячності за вашу допомогу ми пропонуємо винагороду за кожен звіт про проблему безпеки, яка ще не була нам відома. Розмір винагороди визначатиметься на основі серйозності витоку та якості звіту. Мінімальною винагородою буде подарунковий сертифікат на 50 €.

Ми прагнемо розв'язувати всі проблеми якнайшвидше й хочемо відігравати активну роль у фінальній публікації про проблему після її розв'язання.

Цей текст написала Floor Terra, і його опубліковано за ліцензією Creative Commons Attribution 3.0 Unported.