Stranica sigurnosne politike nije proces otkrivanja

Svaki ozbiljan projekat ima sigurnosnu stranicu, a stranica je jeftina. Korisno pitanje je da li izvještaj poslan dokumentovanim kanalom daje ispravljeno izdanje koje obični korisnici mogu instalirati. Za to su potrebna četiri dokaza umjesto jedne tvrdnje, i svi su provjerljivi izvana bez ikakvog sondiranja. Nijedan ne zahtijeva test protiv tuđeg servera. Svi stanu na jednu stranicu bilješki.

Nađite kanal i provjerite da postoji

Počnite od dokumentovane rute: stranica sigurnosne politike, namijenjena adresa ili datoteka /.well-known/security.txt čije je polje Contact definirano RFC 9116.

Zatim pročitajte pasus o opsegu, a ne ljubazni uvod. Koji su proizvodi obuhvaćeni, koje verzije i kakvo postupanje projekat traži?

Kanal koji pripada drugom projektu, ili hosting provajderu umjesto održavaocu, nije proces otkrivanja za softver koji procjenjujete.

Javni tracker ili privatni kanal

Obični nedostaci pripadaju javnom trackeru i imaju koristi od njega. Izvještaj sa zloupotrebljivim detaljem ne, a javno podnošenje izlaže korisnike dok održavalac još čita.

Projekat koji nudi samo javni tracker nije obezbijedio kanal otkrivanja, šta god govorila njegova dokumentacija.

Ništa od ovoga ne dozvoljava testiranje sistema koje ne posjedujete. Adresa za izvještaje je poziv da pošaljete informacije, a ne dozvola da sondirate nepovezane javne servere.

Pratite jedan ispravak od početka do kraja

Odaberite raniju obavijest i pratite je: imenuje li pogođene verzije i izdanje koje ih ispravlja, i može li korisnik zaista instalirati to izdanje?

Taj trag je razlika između potvrde i popravke. Ljubazan odgovor koji nikada ne daje izdanje ishod je za odnose s javnošću. Kratka obavijest s brojem verzije i linkom za preuzimanje je funkcionalan proces. Dobra obavijest brzo odgovara na četiri stvari: šta je pogođeno, kakav je uticaj, koja verzija ispravlja i gdje se može nabaviti.

Historija izdanja popunjava ostalo. Redovna izdanja s jasnim bilješkama ukazuju na projekat koji može isporučiti ispravak, što je važnije od rječite politike.

Održavalac klijenta ili operater usluge

Za VPN su ljudi koji pišu klijent i ljudi koji upravljaju gatewayom često različite organizacije. Problem u kodu klijenta i greška pri postavljanju servera traže različite primaoce.

Odlučite na koji se od njih odnosi vaš nalaz prije nego što ga pošaljete, jer usmjeravanje na pogrešnu stranu obično završava tišinom umjesto odbijanjem.

Šta odsustvo dokazuje, a šta ne

Prazna lista obavijesti ne dokazuje da je proizvod bez nedostataka. Može značiti mlad projekat, malu površinu ili da niko ne gleda.

Isto tako, odsutna stranica politike nije dokaz loše namjere. To je dokaz da ne možete provjeriti proces, i to je iskren zaključak koji treba zapisati.

Šta zapisati

Zapišite četiri činjenice: kontakt koji možete provjeriti, opseg koji pokriva vašu verziju, obavijesti koje imenuju ispravljena izdanja i historiju izdanja koja pokazuje da ispravke izlaze.

Zatim zabilježite šta ostaje nepoznato. Pregled koji to kaže korisniji je od onog koji nedostajuću politiku pretvara u tvrdnju o sigurnosti.