Μια σελίδα πολιτικής ασφάλειας δεν είναι διαδικασία αποκάλυψης

Κάθε σοβαρό έργο έχει σελίδα ασφάλειας, και μια σελίδα είναι φθηνή. Το χρήσιμο ερώτημα είναι αν μια αναφορά που στέλνεται μέσω του τεκμηριωμένου καναλιού παράγει μια διορθωμένη έκδοση που οι συνηθισμένοι χρήστες μπορούν να εγκαταστήσουν. Αυτό απαιτεί τέσσερα στοιχεία απόδειξης αντί για έναν ισχυρισμό, και όλα είναι επαληθεύσιμα από έξω χωρίς να ανιχνεύσεις τίποτα. Κανένα δεν απαιτεί δοκιμή εναντίον του διακομιστή κάποιου άλλου. Όλα χωρούν σε μία σελίδα σημειώσεων.

Βρείτε το κανάλι και ελέγξτε ότι υπάρχει

Ξεκινήστε από την τεκμηριωμένη διαδρομή: μια σελίδα πολιτικής ασφάλειας, μια ειδική διεύθυνση ή ένα αρχείο /.well-known/security.txt του οποίου το πεδίο Contact ορίζεται από το RFC 9116.

Μετά διαβάστε την παράγραφο για το πεδίο εφαρμογής αντί για τη φιλική εισαγωγή. Ποια προϊόντα καλύπτονται, ποιες εκδόσεις, και τι χειρισμό ζητά το έργο;

Ένα κανάλι που ανήκει σε άλλο έργο, ή σε πάροχο φιλοξενίας αντί για τον συντηρητή, δεν είναι διαδικασία αποκάλυψης για το λογισμικό που αξιολογείτε.

Δημόσιος tracker ή ιδιωτικό κανάλι

Τα συνηθισμένα σφάλματα ανήκουν σε έναν δημόσιο tracker και ωφελούνται από αυτόν. Μια αναφορά που περιέχει αξιοποιήσιμη λεπτομέρεια όχι, και η δημόσια κατάθεσή της εκθέτει τους χρήστες όσο ο συντηρητής τη διαβάζει ακόμη.

Ένα έργο που προσφέρει μόνο δημόσιο tracker δεν παρείχε κανάλι αποκάλυψης, ό,τι κι αν λέει η τεκμηρίωσή του.

Τίποτα από αυτά δεν επιτρέπει τη δοκιμή συστημάτων που δεν σας ανήκουν. Μια διεύθυνση αναφορών είναι πρόσκληση να στείλετε πληροφορίες, όχι άδεια να ανιχνεύσετε άσχετους δημόσιους διακομιστές.

Ακολουθήστε μια διόρθωση από την αρχή ως το τέλος

Διαλέξτε μια παλιά ανακοίνωση και ιχνηλατήστε την: ονομάζει τις επηρεαζόμενες εκδόσεις και την έκδοση που τις διορθώνει, και μπορεί ένας χρήστης να εγκαταστήσει πράγματι αυτή την έκδοση;

Αυτό το ίχνος είναι η διαφορά ανάμεσα σε αναγνώριση και επισκευή. Μια ευγενική απάντηση που δεν παράγει ποτέ έκδοση είναι αποτέλεσμα δημοσίων σχέσεων. Μια σύντομη ανακοίνωση με αριθμό έκδοσης και σύνδεσμο λήψης είναι μια διαδικασία που λειτουργεί. Μια καλή ανακοίνωση απαντά γρήγορα σε τέσσερα πράγματα: τι επηρεάζεται, ποια είναι η επίπτωση, ποια έκδοση το διορθώνει και πού θα το βρεις.

Το ιστορικό εκδόσεων συμπληρώνει τα υπόλοιπα. Τακτικές εκδόσεις με σαφείς σημειώσεις υποδηλώνουν ένα έργο που μπορεί να παραδώσει διόρθωση, και αυτό μετρά περισσότερο από μια εύγλωττη πολιτική.

Συντηρητής του πελάτη ή χειριστής της υπηρεσίας

Για ένα VPN, οι άνθρωποι που γράφουν τον πελάτη και οι άνθρωποι που λειτουργούν μια πύλη είναι συχνά διαφορετικοί οργανισμοί. Ένα πρόβλημα στον κώδικα του πελάτη και ένα λάθος στην ανάπτυξη του διακομιστή χρειάζονται διαφορετικούς παραλήπτες.

Αποφασίστε σε ποιο από τα δύο αφορά το εύρημά σας πριν το στείλετε, γιατί η δρομολόγησή του στο λάθος μέρος καταλήγει συνήθως σε σιωπή αντί για επιστροφή.

Τι αποδεικνύει η απουσία και τι όχι

Μια κενή λίστα ανακοινώσεων δεν αποδεικνύει ότι ένα προϊόν είναι απαλλαγμένο από σφάλματα. Μπορεί να σημαίνει νέο έργο, μικρή επιφάνεια ή ότι κανείς δεν κοιτάζει.

Εξίσου, μια απούσα σελίδα πολιτικής δεν είναι απόδειξη κακής πίστης. Είναι απόδειξη ότι δεν μπορείτε να επαληθεύσετε τη διαδικασία, και αυτό είναι το έντιμο συμπέρασμα που πρέπει να καταγραφεί.

Τι να σημειώσετε

Καταγράψτε τέσσερα γεγονότα: μια επαφή που μπορείτε να επαληθεύσετε, ένα πεδίο εφαρμογής που καλύπτει την έκδοσή σας, ανακοινώσεις που ονομάζουν διορθωμένες εκδόσεις, και ένα ιστορικό εκδόσεων που δείχνει ότι οι διορθώσεις κυκλοφορούν.

Σημειώστε μετά τι παραμένει άγνωστο. Μια αξιολόγηση που το λέει είναι πιο χρήσιμη από μία που μετατρέπει μια απούσα πολιτική σε ισχυρισμό ασφάλειας.