Ví dụ về công bố lỗ hổng bảo mật của ResponsibleDisclosure.nl

Tại Acme Corporation, chúng tôi coi an ninh của hệ thống là ưu tiên hàng đầu. Nhưng dù chúng tôi nỗ lực đến đâu cho an ninh hệ thống, vẫn có thể còn tồn tại các lỗ hổng.

Nếu bạn phát hiện một lỗ hổng, chúng tôi muốn được biết để có thể thực hiện các bước xử lý càng nhanh càng tốt.

Chúng tôi muốn đề nghị bạn giúp chúng tôi bảo vệ khách hàng và hệ thống của mình tốt hơn.

Vui lòng làm như sau:

Gửi email các phát hiện của bạn đến cert@example.com. Hãy mã hóa các phát hiện bằng khóa PGP của chúng tôi để ngăn thông tin quan trọng này rơi vào tay kẻ xấu,
Đừng lợi dụng lỗ hổng hay vấn đề bạn đã phát hiện, chẳng hạn bằng cách tải xuống nhiều dữ liệu hơn mức cần thiết để chứng minh lỗ hổng hoặc xóa hay sửa dữ liệu của người khác,
Đừng tiết lộ vấn đề cho người khác cho đến khi nó được giải quyết,
Đừng dùng các cuộc tấn công vào an ninh vật lý, kỹ thuật xã hội, tấn công từ chối dịch vụ phân tán, thư rác hay các ứng dụng của bên thứ ba, và
Hãy cung cấp đủ thông tin để tái hiện vấn đề, để chúng tôi có thể giải quyết nó càng nhanh càng tốt. Thường thì địa chỉ IP hoặc URL của hệ thống bị ảnh hưởng và mô tả về lỗ hổng là đủ, nhưng các lỗ hổng phức tạp có thể cần giải thích thêm.

Những gì chúng tôi hứa:

Chúng tôi sẽ phản hồi báo cáo của bạn trong vòng 3 ngày làm việc kèm đánh giá của chúng tôi về báo cáo và ngày dự kiến giải quyết,
Nếu bạn đã làm theo các hướng dẫn trên, chúng tôi sẽ không có bất kỳ hành động pháp lý nào chống lại bạn liên quan đến báo cáo,
Chúng tôi sẽ xử lý báo cáo của bạn với sự bảo mật nghiêm ngặt và không chuyển thông tin cá nhân của bạn cho bên thứ ba nếu không có sự cho phép của bạn,
Chúng tôi sẽ thông báo cho bạn về tiến độ giải quyết vấn đề,
Trong thông tin công khai liên quan đến vấn đề được báo cáo, chúng tôi sẽ nêu tên bạn là người phát hiện vấn đề (trừ khi bạn muốn khác), và
Như một biểu hiện của lòng biết ơn đối với sự giúp đỡ của bạn, chúng tôi trao phần thưởng cho mỗi báo cáo về một vấn đề bảo mật mà chúng tôi chưa biết. Mức thưởng sẽ được xác định dựa trên mức độ nghiêm trọng của sự rò rỉ và chất lượng báo cáo. Mức thưởng tối thiểu là một phiếu quà tặng trị giá 50 euro.

Chúng tôi cố gắng giải quyết mọi vấn đề càng nhanh càng tốt, và chúng tôi muốn đóng vai trò tích cực trong bài công bố cuối cùng về vấn đề sau khi nó được giải quyết.

Văn bản này do Floor Terra viết và được xuất bản theo giấy phép Creative Commons Attribution 3.0 Unported.