নিরাপত্তা নীতি পাতা কোনো প্রকাশ প্রক্রিয়া নয়
প্রকাশিত নীতি একটি প্রতিশ্রুতি। যে যোগাযোগের উত্তর আসে, যে পরিধি মানানসই এবং যে বিজ্ঞপ্তিগুলো সংশোধিত সংস্করণের নাম বলে, সেগুলোই তার কাজ করার প্রমাণ।
প্রতিটি গুরুতর প্রকল্পের একটি নিরাপত্তা পাতা থাকে, আর পাতা তৈরি করা সহজ। আসল প্রশ্ন হলো, নথিভুক্ত চ্যানেল দিয়ে পাঠানো প্রতিবেদন থেকে এমন সংশোধিত সংস্করণ আসে কি না যা সাধারণ ব্যবহারকারী ইনস্টল করতে পারেন। এর জন্য এক দাবির বদলে চারটি প্রমাণ দরকার, আর সবগুলোই বাইরে থেকে যাচাইযোগ্য, কিছু অনুসন্ধান না করেই। এর কোনোটির জন্য অন্যের সার্ভারের বিরুদ্ধে পরীক্ষা লাগে না। সবগুলো এক পাতার নোটে ধরে যায়।
চ্যানেলটি খুঁজুন এবং তা আছে কি না যাচাই করুন
নথিভুক্ত পথ দিয়ে শুরু করুন: একটি নিরাপত্তা নীতি পাতা, একটি নির্দিষ্ট ঠিকানা, বা এমন একটি /.well-known/security.txt ফাইল যার Contact ক্ষেত্রটি RFC 9116 দ্বারা নির্ধারিত।
তারপর বন্ধুত্বপূর্ণ ভূমিকার বদলে পরিধির অনুচ্ছেদটি পড়ুন। কোন পণ্য অন্তর্ভুক্ত, কোন সংস্করণ, এবং প্রকল্পটি কী ধরনের আচরণ চায়?
অন্য প্রকল্পের, বা রক্ষণাবেক্ষণকারীর বদলে হোস্টিং প্রদানকারীর, চ্যানেল আপনার যে সফটওয়্যার মূল্যায়ন করছেন তার প্রকাশ প্রক্রিয়া নয়।
সর্বজনীন ট্র্যাকার নাকি ব্যক্তিগত চ্যানেল
সাধারণ ত্রুটির জায়গা সর্বজনীন ট্র্যাকার এবং তা থেকে সুবিধা হয়। যে প্রতিবেদনে শোষণযোগ্য বিবরণ থাকে তার নয়, আর তা প্রকাশ্যে জমা দিলে রক্ষণাবেক্ষণকারী যখন পড়ছেন তখনই ব্যবহারকারীরা ঝুঁকিতে পড়েন।
যে প্রকল্প কেবল সর্বজনীন ট্র্যাকার দেয়, সে প্রকাশ চ্যানেল দেয়নি, তার নথি যা-ই বলুক।
এর কোনোটিই আপনার মালিকানাধীন নয় এমন সিস্টেম পরীক্ষা করার অনুমতি দেয় না। প্রতিবেদনের ঠিকানা তথ্য পাঠানোর আমন্ত্রণ, অসংলগ্ন সর্বজনীন সার্ভার অনুসন্ধানের অনুমতি নয়।
একটি সংশোধন শুরু থেকে শেষ পর্যন্ত অনুসরণ করুন
একটি পুরোনো বিজ্ঞপ্তি বেছে নিয়ে তা অনুসরণ করুন: এটি কি ক্ষতিগ্রস্ত সংস্করণ ও যে সংস্করণ সেগুলো সংশোধন করে তার নাম বলে, আর ব্যবহারকারী কি সত্যিই সেই সংস্করণ ইনস্টল করতে পারেন?
এই পথটাই স্বীকৃতি ও মেরামতের পার্থক্য। ভদ্র উত্তর যা কখনো সংস্করণ তৈরি করে না, তা জনসংযোগের ফলাফল। সংস্করণ নম্বর ও ডাউনলোড লিংকসহ সংক্ষিপ্ত বিজ্ঞপ্তি একটি কার্যকর প্রক্রিয়া। ভালো বিজ্ঞপ্তি দ্রুত চারটি প্রশ্নের উত্তর দেয়: কী ক্ষতিগ্রস্ত, প্রভাব কী, কোন সংস্করণ তা সংশোধন করে এবং কোথায় পাওয়া যায়।
সংস্করণের ইতিহাস বাকিটা পূরণ করে। স্পষ্ট নোটসহ নিয়মিত সংস্করণ এমন প্রকল্প বোঝায় যা সংশোধন পাঠাতে পারে, আর তা বাগ্মী নীতির চেয়ে বেশি গুরুত্বপূর্ণ।
ক্লায়েন্ট রক্ষণাবেক্ষণকারী নাকি সেবা পরিচালক
একটি VPN-এর ক্ষেত্রে যারা ক্লায়েন্ট লেখেন এবং যারা গেটওয়ে পরিচালনা করেন তারা প্রায়ই ভিন্ন প্রতিষ্ঠান। ক্লায়েন্ট কোডের সমস্যা আর সার্ভার স্থাপনার ভুলের জন্য ভিন্ন প্রাপক দরকার।
পাঠানোর আগে ঠিক করুন আপনার অনুসন্ধান কোনটির সঙ্গে সম্পর্কিত, কারণ ভুল পক্ষকে পাঠালে সাধারণত ফিরে আসার বদলে নীরবতা হয়।
অনুপস্থিতি কী প্রমাণ করে, আর কী করে না
খালি বিজ্ঞপ্তির তালিকা প্রমাণ করে না যে কোনো পণ্য ত্রুটিমুক্ত। এর অর্থ হতে পারে নতুন প্রকল্প, ছোট পৃষ্ঠতল, বা কেউ দেখছে না।
একইভাবে, অনুপস্থিত নীতি পাতা খারাপ বিশ্বাসের প্রমাণ নয়। এটি প্রমাণ যে আপনি প্রক্রিয়াটি যাচাই করতে পারেন না, আর এটাই লিপিবদ্ধ করার সৎ সিদ্ধান্ত।
কী লিখে রাখবেন
চারটি তথ্য লিখুন: একটি যোগাযোগ যা আপনি যাচাই করতে পারেন, একটি পরিধি যা আপনার সংস্করণ কভার করে, বিজ্ঞপ্তি যা সংশোধিত সংস্করণের নাম বলে, এবং সংস্করণের ইতিহাস যা দেখায় সংশোধন পাঠানো হয়।
তারপর যা অজানা থাকে তা টুকে রাখুন। যে পর্যালোচনা তা বলে, সেটি এমন পর্যালোচনার চেয়ে বেশি কাজে লাগে যা অনুপস্থিত নীতিকে নিরাপত্তার দাবিতে বদলে দেয়।