En side om sikkerhedspolitik er ikke en offentliggørelsesproces

Ethvert seriøst projekt har en sikkerhedsside, og en side er billig. Det nyttige spørgsmål er, om en rapport, der sendes gennem den dokumenterede kanal, fører til en rettet udgivelse, som almindelige brugere kan installere. Det kræver fire stykker bevis i stedet for én påstand, og de er alle kontrollerbare udefra uden at undersøge noget. Ingen af dem kræver en test mod en andens server. Alle kan være på én side noter.

Find kanalen, og undersøg at den findes

Begynd med den dokumenterede vej: en side om sikkerhedspolitik, en dedikeret adresse eller en /.well-known/security.txt-fil, hvis Contact-felt er defineret af RFC 9116.

Læs derefter afsnittet om omfanget i stedet for den venlige introduktion. Hvilke produkter er dækket, hvilke versioner, og hvilken håndtering beder projektet om?

En kanal, der tilhører et andet projekt eller en hostingudbyder i stedet for vedligeholderen, er ikke en offentliggørelsesproces for det software, du vurderer.

Offentlig tracker eller privat kanal

Almindelige fejl hører til i en offentlig tracker og har gavn af den. En rapport med en udnyttbar detalje gør ikke, og offentlig indsendelse udsætter brugerne, mens vedligeholderen stadig læser den.

Et projekt, der kun tilbyder en offentlig tracker, har ikke givet en offentliggørelseskanal, uanset hvad dokumentationen siger.

Intet af dette tillader test af systemer, du ikke ejer. En rapporteringsadresse er en invitation til at sende oplysninger, ikke tilladelse til at undersøge uvedkommende offentlige servere.

Følg én rettelse fra start til slut

Vælg en tidligere rådgivning, og følg den: navngiver den de berørte versioner og den udgivelse, der retter dem, og kan en bruger faktisk installere den udgivelse?

Det spor er forskellen mellem en anerkendelse og en reparation. Et høfligt svar, der aldrig fører til en udgivelse, er et resultat for omdømmepleje. En kort rådgivning med et versionsnummer og et downloadlink er en fungerende proces. En god rådgivning svarer hurtigt på fire ting: hvad er berørt, hvad er påvirkningen, hvilken version retter det, og hvor man får den.

Udgivelseshistorikken udfylder resten. Regelmæssige udgivelser med klare noter tyder på et projekt, der kan levere en rettelse, og det betyder mere end en veltalende politik.

Vedligeholder af klienten eller operatør af tjenesten

For en VPN er de personer, der skriver klienten, og de personer, der driver en gateway, ofte forskellige organisationer. Et problem i klientkoden og en fejl ved serverudrulning kræver forskellige modtagere.

Afgør, hvilken af de to din opdagelse vedrører, før du sender den, fordi at sende den til den forkerte part normalt ender i tavshed i stedet for en afvisning.

Hvad fravær beviser, og hvad det ikke beviser

En tom rådgivningsliste beviser ikke, at et produkt er fri for fejl. Det kan betyde et ungt projekt, en lille overflade eller at ingen kigger.

Ligeledes er en manglende politikside ikke bevis på ond tro. Det er bevis på, at du ikke kan verificere processen, og det er den ærlige konklusion at notere.

Hvad du skal skrive ned

Noter fire fakta: en kontakt, du kan verificere, et omfang, der dækker din version, rådgivninger, der navngiver rettede udgivelser, og en udgivelseshistorik, der viser, at rettelser udkommer.

Noter derefter, hvad der forbliver ukendt. En gennemgang, der siger det, er mere nyttig end en, der gør en manglende politik til en påstand om sikkerhed.