Bits of Freedom - 协同漏洞披露

我们对数字基础设施的依赖与日俱增。这既适用于整个社会，也适用于我们自己。因此我们认为，政府和组织（包括我们自己）应当坚定地致力于保障我们的数字基础设施安全。我们确实认识到，尽管我们怀着最好的意愿、给予了最大的关注，我们的系统中仍可能存在漏洞。如果您恰好发现了这些弱点，我们非常希望收到您的来信，以便我们解决问题。

我们对您的期望

• 当您调查我们的某个系统时，请牢记攻击的相称性。无需通过对我们的网站发起互联网历史上最大规模的 DDoS 攻击，来证明网站可能会无法访问。这一点我们知道。我们也明白，如果您开着推土机撞进我们的办公室，您多半能抢走我们的一台笔记本电脑。

• 这一相称性原则在演示漏洞本身时同样适用。为了确认您的发现有效，您不应查看或修改超出严格必要范围的数据。例如，如果您能够修改我们的主页，只需在其中添加一个无争议的词语，而不是接管整个页面。如果您能够访问某个数据库，只需向我们展示其中的数据表清单，或者也许是某个表中的第一条记录就足够了。

• 我们系统中的漏洞应尽快通过发送电子邮件至 security@bof.nl 进行报告。最好使用 OpenPGP 加密您的邮件。请提供足够的信息，以便我们重现并调查该问题。

• security@bof.nl 的 OpenPGP 公钥

• 只要我们尚未解决该问题，并且距离您报告问题仍在合理的时间范围内，您就不会向其他方分享您所了解的该漏洞信息。

• 一旦我们解决了该漏洞，您将删除调查期间获得的所有保密信息。

您可以期待我们做到

• 我们将在三天内就您的报告给出详细答复。我们会附上我们处理该问题所需时间的预估。当然，我们会定期向您通报进展。

• 我们将尽快解决该漏洞。在这方面，相称性同样重要：修复漏洞所需的时间取决于多种因素，其中包括问题的严重程度和复杂程度。

• 当您遵循此处列出的指引时，我们不会就您的报告对您采取法律行动。

• 如果您愿意，我们很看重对您所做工作的认可。只有在您同意的情况下，我们才会在有关该漏洞的公开发布中提及您的姓名。

• 为感谢您帮助我们更好地保护系统，我们愿意奖励每一份当时我们未知的漏洞报告。奖励将取决于漏洞的严重程度和报告的质量。

• 如果您在我们使用的第三方软件中发现了漏洞，并且该漏洞属于某个漏洞赏金计划的范围，我们不会试图领取这笔赏金；应当由您来领取。