Страницата с политика за сигурност не е процес за разкриване

Всеки сериозен проект има страница за сигурност, а страницата е евтина. Полезният въпрос е дали доклад, изпратен по документирания канал, води до поправено издание, което обикновените потребители могат да инсталират. Това изисква четири доказателства вместо едно твърдение и всички те са проверими отвън, без да се проверява нищо. Никое от тях не изисква тест срещу чужд сървър. Всички се побират на една страница бележки.

Намерете канала и проверете, че съществува

Започнете с документирания път: страница с политика за сигурност, отделен адрес или файл /.well-known/security.txt, чието поле Contact е определено от RFC 9116.

След това прочетете абзаца за обхвата, а не любезното въведение. Кои продукти са обхванати, кои версии и какво отношение иска проектът?

Канал, който принадлежи на друг проект или на хостинг доставчик, а не на поддръжника, не е процес за разкриване на софтуера, който оценявате.

Публичен тракер или частен канал

Обикновените дефекти принадлежат в публичен тракер и печелят от него. Доклад с използваем детайл — не, а публикуването му излага потребителите, докато поддръжникът още го чете.

Проект, който предлага само публичен тракер, не е предоставил канал за разкриване, каквото и да казва документацията му.

Нищо от това не разрешава тестване на системи, които не притежавате. Адресът за доклади е покана да изпратите информация, а не разрешение да проверявате несвързани публични сървъри.

Проследете една поправка от началото до края

Изберете минало съобщение и го проследете: назовава ли засегнатите версии и изданието, което ги поправя, и може ли потребителят наистина да инсталира това издание?

Тази следа е разликата между потвърждение и ремонт. Любезен отговор, който никога не произвежда издание, е резултат за връзки с обществеността. Кратко съобщение с номер на версия и връзка за изтегляне е работещ процес. Доброто съобщение отговаря бързо на четири неща: какво е засегнато, какво е въздействието, коя версия го поправя и откъде да се вземе.

Историята на изданията допълва останалото. Редовни издания с ясни бележки подсказват проект, който може да достави поправка, а това е по-важно от красноречива политика.

Поддръжник на клиента или оператор на услуга

За VPN хората, които пишат клиента, и хората, които управляват шлюз, често са различни организации. Проблем в кода на клиента и грешка при внедряване на сървъра изискват различни получатели.

Решете кой от двата засяга находката ви, преди да я изпратите, защото насочването ѝ към грешната страна обикновено завършва с мълчание, а не с отказ.

Какво доказва липсата и какво не

Празен списък със съобщения не доказва, че продуктът е свободен от дефекти. Може да означава млад проект, малка повърхност или че никой не гледа.

По същия начин липсващата страница с политика не е доказателство за лоша воля. Тя е доказателство, че не можете да проверите процеса, и това е честният извод, който трябва да запишете.

Какво да запишете

Запишете четири факта: контакт, който можете да проверите, обхват, който покрива вашата версия, съобщения, които назовават поправени издания, и история на изданията, която показва, че поправките излизат.

След това отбележете какво остава неизвестно. Преглед, който го казва, е по-полезен от такъв, който превръща липсваща политика в твърдение за сигурност.