Turvapoliitika leht ei ole avalikustamise protsess

Igal tõsisel projektil on turvaleht ja leht on odav. Kasulik küsimus on, kas dokumenteeritud kanali kaudu saadetud raport annab parandatud väljaande, mille tavalised kasutajad saavad paigaldada. See nõuab nelja tõendit ühe väite asemel ja kõik on väljastpoolt kontrollitavad ilma midagi sondimata. Ükski neist ei nõua testi kellegi teise serveri vastu. Kõik mahuvad ühele leheküljele märkmeid.

Leidke kanal ja kontrollige, et see olemas on

Alustage dokumenteeritud teest: turvapoliitika leht, eraldatud aadress või fail /.well-known/security.txt, mille Contact-väli on määratud RFC 9116 poolt.

Seejärel lugege ulatuse lõiku, mitte sõbralikku sissejuhatust. Millised tooted on kaetud, millised versioonid ja millist kohtlemist projekt palub?

Kanal, mis kuulub teisele projektile või hostimisteenuse pakkujale, mitte hooldajale, ei ole avalikustamise protsess hindatava tarkvara jaoks.

Avalik jälgija või privaatne kanal

Tavalised vead kuuluvad avalikku jälgijasse ja saavad sellest kasu. Raport, mis sisaldab ärakasutatavat detaili, mitte, ja selle avalik esitamine seab kasutajad ohtu, kui hooldaja seda alles loeb.

Projekt, mis pakub ainult avalikku jälgijat, ei ole avalikustamiskanalit loonud, mida iganes selle dokumentatsioon ütleb.

Miski sellest ei luba testida süsteeme, mis ei kuulu teile. Raporteerimisaadress on kutse saata teavet, mitte luba sondida mitteseotud avalikke servereid.

Jälgige ühte parandust algusest lõpuni

Valige varasem teade ja jälgige seda: kas see nimetab mõjutatud versioonid ja väljaande, mis need parandab, ja kas kasutaja saab selle väljaande tõesti paigaldada?

See jälg on vahe tunnustamise ja paranduse vahel. Viisakas vastus, mis ei anna kunagi väljaannet, on avalike suhete tulemus. Lühike teade versiooninumbri ja allalaadimislingiga on toimiv protsess. Hea teade vastab kiiresti neljale asjale: mis on mõjutatud, milline on mõju, milline versioon selle parandab ja kust seda saada.

Väljaannete ajalugu täidab ülejäänu. Regulaarsed selgete märkmetega väljaanded viitavad projektile, mis suudab paranduse tarnida, ja see loeb rohkem kui sõnaosav poliitika.

Kliendi hooldaja või teenuse operaator

VPN-i puhul on kliendi kirjutajad ja lüüsi käitajad sageli eri organisatsioonid. Kliendi koodi probleem ja serveri juurutamise viga vajavad erinevaid adressaate.

Otsustage enne saatmist, kumba kahest teie leid puudutab, sest vale poole suunamine lõpeb tavaliselt vaikusega, mitte tagasilükkega.

Mida puudumine tõestab ja mida mitte

Tühi teadete loend ei tõesta, et tootel pole vigu. See võib tähendada noort projekti, väikest pinda või seda, et keegi ei vaata.

Samuti ei ole puuduv poliitikaleht tõestus halvast usust. See on tõestus, et te ei saa protsessi kontrollida, ja see on aus järeldus, mis tuleb kirja panna.

Mida kirja panna

Pange kirja neli fakti: kontakt, mida saate kontrollida, ulatus, mis katab teie versiooni, teated, mis nimetavad parandatud väljaandeid, ja väljaannete ajalugu, mis näitab, et parandused väljuvad.

Seejärel märkige, mis jääb teadmata. Ülevaade, mis seda ütleb, on kasulikum kui see, mis muudab puuduva poliitika turvaväiteks.