דף מדיניות אבטחה אינו תהליך חשיפה

לכל פרויקט רציני יש דף אבטחה, ודף הוא זול. השאלה המועילה היא אם דוח שנשלח בערוץ המתועד מפיק גרסה מתוקנת שמשתמשים רגילים יכולים להתקין. זה דורש ארבע ראיות במקום טענה אחת, וכולן ניתנות לבדיקה מבחוץ בלי לחקור דבר. אף אחת מהן לא דורשת בדיקה מול השרת של מישהו אחר. כולן נכנסות בעמוד אחד של הערות.

מצאו את הערוץ ובדקו שהוא קיים

התחילו במסלול המתועד: דף מדיניות אבטחה, כתובת ייעודית או קובץ /.well-known/security.txt ששדה Contact בו מוגדר על ידי RFC 9116.

לאחר מכן קראו את פסקת ההיקף ולא את המבוא הידידותי. אילו מוצרים מכוסים, אילו גרסאות, ואיזו התנהלות הפרויקט מבקש?

ערוץ ששייך לפרויקט אחר, או לספק אחסון ולא לתחזוקן, אינו תהליך חשיפה עבור התוכנה שאתם מעריכים.

מעקב ציבורי או ערוץ פרטי

פגמים רגילים שייכים למעקב ציבורי ומרוויחים ממנו. דוח שמכיל פרט שניתן לנצל לא, והגשתו בפומבי חושפת משתמשים בזמן שהתחזוקן עדיין קורא אותו.

פרויקט שמציע רק מעקב ציבורי לא סיפק ערוץ חשיפה, יהיה אשר יהיה כתוב בתיעוד שלו.

שום דבר מזה אינו מתיר לבדוק מערכות שאינן שלכם. כתובת דיווח היא הזמנה לשלוח מידע, לא רשות לחקור שרתים ציבוריים לא קשורים.

עקבו אחר תיקון אחד מתחילתו ועד סופו

בחרו התראה קודמת ועקבו אחריה: האם היא מציינת את הגרסאות המושפעות ואת הגרסה שמתקנת אותן, והאם משתמש יכול באמת להתקין את אותה גרסה?

העקבה הזו היא ההבדל בין אישור לתיקון. תשובה מנומסת שלעולם אינה מפיקה גרסה היא תוצאה של יחסי ציבור. התראה קצרה עם מספר גרסה וקישור הורדה היא תהליך שעובד. התראה טובה עונה במהירות על ארבעה דברים: מה מושפע, מה ההשפעה, איזו גרסה מתקנת ואיפה להשיג אותה.

היסטוריית הגרסאות משלימה את השאר. גרסאות סדירות עם הערות ברורות מרמזות על פרויקט שיכול לשלוח תיקון, וזה חשוב יותר ממדיניות רהוטה.

תחזוקן הלקוח או מפעיל השירות

עבור VPN, האנשים שכותבים את הלקוח והאנשים שמפעילים שער הם לעתים קרובות ארגונים שונים. בעיה בקוד הלקוח וטעות בפריסת השרת צריכות נמענים שונים.

החליטו לאיזה מהשניים נוגעת הממצא שלכם לפני שתשלחו אותו, כי הפניה לצד הלא נכון מסתיימת בדרך כלל בשתיקה ולא בחזרה.

מה היעדר מוכיח, ומה לא

רשימת התראות ריקה אינה מוכיחה שמוצר נקי מפגמים. היא יכולה לומר פרויקט צעיר, משטח קטן, או שאיש אינו מסתכל.

כמו כן, דף מדיניות חסר אינו ראיה לחוסר תום לב. הוא ראיה לכך שאינכם יכולים לאמת את התהליך, וזו המסקנה הכנה שיש לרשום.

מה לרשום

רשמו ארבעה עובדות: איש קשר שאפשר לאמת, היקף שמכסה את הגרסה שלכם, התראות שמציינות גרסאות מתוקנות, והיסטוריית גרסאות שמראה שתיקונים יוצאים.

ואז רשמו מה נשאר בלתי ידוע. סקירה שאומרת זאת מועילה יותר מזו שהופכת מדיניות חסרה לטענת אבטחה.