Старонка палітыкі бяспекі — не працэс раскрыцця

У кожнага сур'ёзнага праекта ёсць старонка бяспекі, а старонка каштуе танна. Карыснае пытанне ў тым, ці дае справаздача, дасланая праз дакументаваны канал, выпраўлены выпуск, які звычайныя карыстальнікі могуць усталяваць. Гэта патрабуе чатырох доказаў замест аднаго сцвярджэння, і ўсе яны правяральныя звонку без любога зандзіравання. Ніводзін з іх не патрабуе тэсту супраць чужога сервера. Усе яны змяшчаюцца на адной старонцы нататак.

Знайдзіце канал і праверце, што ён існуе

Пачніце з дакументаванага шляху: старонка палітыкі бяспекі, выдзелены адрас або файл /.well-known/security.txt, поле Contact якога вызначана RFC 9116.

Затым чытайце абзац пра абсяг, а не прыязны ўступ. Якія прадукты ахоплены, якія версіі і якога абыходжання праект патрабуе?

Канал, які належыць іншаму праекту або хостынг-правайдэру, а не суправаджальніку, не з'яўляецца працэсам раскрыцця для праграмы, якую вы ацэньваеце.

Публічны трэкер ці прыватны канал

Звычайныя дэфекты месца ў публічным трэкеры і атрымліваюць ад яго карысць. Справаздача з дэталлю, якую можна выкарыстаць, — не, і публікацыя яе агаляе карыстальнікаў, пакуль суправаджальнік яе яшчэ чытае.

Праект, які прапануе толькі публічны трэкер, не даў канала раскрыцця, што б ні казала яго дакументацыя.

Нішто з гэтага не дазваляе тэставаць сістэмы, якімі вы не валодаеце. Адрас для справаздач — запрашэнне даслаць інфармацыю, а не дазвол зандзіраваць непавязаныя публічныя серверы.

Прасочыце адно выпраўленне ад пачатку да канца

Вазьміце мінулае паведамленне і прасачыце яго: ці называе яно закранутыя версіі і выпуск, які іх выпраўляе, і ці можа карыстальнік сапраўды ўсталяваць гэты выпуск?

Гэты след — розніца паміж пацвярджэннем і рамонтам. Ветлівы адказ, які ніколі не дае выпуску, — вынік для сувязяў з грамадскасцю. Кароткае паведамленне з нумарам версіі і спасылкай на спампоўку — працоўны працэс. Добрае паведамленне хутка адказвае на чатыры рэчы: што закранута, які ўплыў, якая версія выпраўляе і дзе яе ўзяць.

Гісторыя выпускаў дапаўняе астатняе. Рэгулярныя выпускі з яснымі нататкамі сведчаць пра праект, здольны адправіць выпраўленне, а гэта важней за красамоўную палітыку.

Суправаджальнік кліента ці аператар сэрвісу

Для VPN людзі, якія пішуць кліент, і людзі, якія кіруюць шлюзам, часта розныя арганізацыі. Праблема ў кодзе кліента і памылка пры разгортванні сервера патрабуюць розных атрымальнікаў.

Вызначце, да якога з іх адносіцца ваша знаходка, перш чым дасылаць яе, бо накіраванне не таму боку звычайна сканчаецца маўчаннем, а не вяртаннем.

Што даказвае адсутнасць і што не

Пусты спіс паведамленняў не даказвае, што прадукт свабодны ад дэфектаў. Ён можа азначаць малады праект, малую паверхню або тое, што ніхто не глядзіць.

Гэтак жа адсутная старонка палітыкі не з'яўляецца доказам дрэнных намераў. Яна — доказ таго, што вы не можаце праверыць працэс, і гэта сумленная выснова, якую варта запісаць.

Што запісаць

Запішыце чатыры факты: кантакт, які вы можаце праверыць, абсяг, які пакрывае вашу версію, паведамленні, якія называюць выпраўленыя выпускі, і гісторыю выпускаў, якая паказвае, што выпраўленні выходзяць.

Затым адзначце тое, што застаецца невядомым. Агляд, які гэта кажа, карыснейшы за той, што ператварае адсутную палітыку ў сцвярджэнне пра бяспеку.