Stránka bezpečnostní politiky není proces zveřejňování

Každý seriózní projekt má bezpečnostní stránku a stránka je levná. Užitečná otázka je, zda hlášení poslané dokumentovaným kanálem vede k opravenému vydání, které běžní uživatelé mohou nainstalovat. To vyžaduje čtyři důkazy místo jednoho tvrzení a všechny jsou ověřitelné zvenčí bez jakéhokoli sondování. Žádný nevyžaduje test proti cizímu serveru. Všechny se vejdou na jednu stránku poznámek.

Najděte kanál a ověřte, že existuje

Začněte dokumentovanou cestou: stránka bezpečnostní politiky, vyhrazená adresa nebo soubor /.well-known/security.txt, jehož pole Contact je definováno RFC 9116.

Pak čtěte odstavec o rozsahu, ne přátelský úvod. Které produkty jsou pokryty, které verze a jaké zacházení projekt žádá?

Kanál, který patří jinému projektu nebo poskytovateli hostingu místo správci, není proces zveřejňování pro software, který hodnotíte.

Veřejný tracker, nebo soukromý kanál

Běžné vady patří do veřejného trackeru a mají z něj užitek. Hlášení s využitelným detailem ne, a veřejné podání vystavuje uživatele, zatímco správce ho ještě čte.

Projekt, který nabízí jen veřejný tracker, neposkytl kanál pro zveřejňování, ať jeho dokumentace říká cokoli.

Nic z toho neopravňuje testovat systémy, které nevlastníte. Adresa pro hlášení je pozvání poslat informace, ne povolení sondovat nesouvisející veřejné servery.

Sledujte jednu opravu od začátku do konce

Vyberte dřívější oznámení a sledujte ho: uvádí postižené verze a vydání, které je opravuje, a může uživatel toto vydání skutečně nainstalovat?

Tato stopa je rozdíl mezi potvrzením a opravou. Zdvořilá odpověď, která nikdy nevydá verzi, je výsledek pro vztahy s veřejností. Stručné oznámení s číslem verze a odkazem ke stažení je funkční proces. Dobré oznámení rychle odpovídá na čtyři věci: co je postiženo, jaký je dopad, která verze to opravuje a kde to získat.

Historie vydání doplňuje zbytek. Pravidelná vydání s jasnými poznámkami naznačují projekt, který umí dodat opravu, což je důležitější než výmluvná politika.

Správce klienta, nebo provozovatel služby

U VPN jsou lidé, kteří píšou klienta, a lidé, kteří provozují bránu, často různé organizace. Problém v kódu klienta a chyba při nasazení serveru potřebují různé příjemce.

Rozhodněte, kterého z nich se váš nález týká, než ho pošlete, protože nasměrování na špatnou stranu obvykle skončí tichem místo odražení.

Co nepřítomnost dokazuje a co ne

Prázdný seznam oznámení nedokazuje, že produkt je bez vad. Může znamenat mladý projekt, malou plochu nebo že se nikdo nedívá.

Stejně tak chybějící stránka politiky není důkazem špatné víry. Je důkazem, že proces nemůžete ověřit, a to je poctivý závěr, který je třeba zaznamenat.

Co si zapsat

Zapište čtyři fakta: kontakt, který můžete ověřit, rozsah, který pokrývá vaši verzi, oznámení, která uvádějí opravená vydání, a historii vydání, která ukazuje, že opravy vycházejí.

Pak poznamenejte, co zůstává neznámé. Recenze, která to říká, je užitečnější než ta, která z chybějící politiky dělá tvrzení o bezpečnosti.