უსაფრთხოების პოლიტიკის გვერდი გამჟღავნების პროცესი არ არის

ყველა სერიოზულ პროექტს აქვს უსაფრთხოების გვერდი, და გვერდი იაფია. სასარგებლო კითხვაა, გამოიღებს თუ არა დოკუმენტირებული არხით გაგზავნილი მოხსენება გამოსწორებულ გამოცემას, რომლის დაყენებაც ჩვეულებრივ მომხმარებლებს შეუძლიათ. ეს მოითხოვს ოთხ მტკიცებულებას ერთი მტკიცების ნაცვლად, და ყველა მათგანი გარედან შემოწმებადია ყოველგვარი ძიების გარეშე. არც ერთი მათგანი არ მოითხოვს სხვისი სერვერის წინააღმდეგ ტესტს. ყველა ერთ გვერდ შენიშვნაზე ეტევა.

იპოვეთ არხი და დაადასტურეთ, რომ ის არსებობს

დაიწყეთ დოკუმენტირებული გზიდან: უსაფრთხოების პოლიტიკის გვერდი, გამოყოფილი მისამართი ან ფაილი /.well-known/security.txt, რომლის Contact ველი განსაზღვრულია RFC 9116-ით.

შემდეგ წაიკითხეთ ფარგლების აბზაცი და არა მეგობრული შესავალი. რომელი პროდუქტებია დაფარული, რომელი ვერსიები, და როგორ მოპყრობას ითხოვს პროექტი?

სხვა პროექტის ან ჰოსტინგის მომწოდებლის, და არა მზრუნველის, არხი გამჟღავნების პროცესი არ არის იმ პროგრამული უზრუნველყოფისთვის, რომელსაც აფასებთ.

საჯარო ტრეკერი თუ დახურული არხი

ჩვეულებრივი ხარვეზები საჯარო ტრეკერში უნდა იყოს და მისგან სარგებელს იღებს. მოხსენება, რომელიც გამოსაყენებელ დეტალს შეიცავს, არა, და მისი საჯაროდ წარდგენა მომხმარებლებს ამჟღავნებს, სანამ მზრუნველი ჯერ კიდევ კითხულობს.

პროექტმა, რომელიც მხოლოდ საჯარო ტრეკერს გვთავაზობს, გამჟღავნების არხი არ მოგვცა, რაც არ უნდა თქვას მისი დოკუმენტაცია.

ამათგან არც ერთი არ იძლევა იმ სისტემების ტესტირების უფლებას, რომლებიც თქვენი არ არის. მოხსენების მისამართი ინფორმაციის გაგზავნის მოწვევაა, და არა დაუკავშირებელი საჯარო სერვერების ძიების ნებართვა.

მიჰყევით ერთ გამოსწორებას თავიდან ბოლომდე

აირჩიეთ წინა შეტყობინება და მიჰყევით მას: ასახელებს ის დაზარალებულ ვერსიებს და გამოცემას, რომელიც მათ ასწორებს, და შეუძლია მომხმარებელს ნამდვილად დააყენოს ის გამოცემა?

ეს კვალი განსხვავებაა აღიარებასა და შეკეთებას შორის. თავაზიანი პასუხი, რომელიც არასოდეს გამოსცემს ვერსიას, საზოგადოებასთან ურთიერთობის შედეგია. მოკლე შეტყობინება ვერსიის ნომრით და ჩამოტვირთვის ბმულით მომუშავე პროცესია. კარგი შეტყობინება სწრაფად პასუხობს ოთხ რამეს: რა არის დაზარალებული, რა არის გავლენა, რომელი ვერსია ასწორებს და საიდან მივიღოთ.

გამოცემების ისტორია ავსებს დანარჩენს. რეგულარული გამოცემები მკაფიო შენიშვნებით მიუთითებს პროექტზე, რომელსაც გამოსწორების გაგზავნა შეუძლია, და ეს უფრო მნიშვნელოვანია, ვიდრე მჭევრმეტყველი პოლიტიკა.

კლიენტის მზრუნველი თუ სერვისის ოპერატორი

VPN-ისთვის, კლიენტის დამწერები და კარიბჭის მმართველები ხშირად სხვადასხვა ორგანიზაციები არიან. კლიენტის კოდის პრობლემას და სერვერის განლაგების შეცდომას სხვადასხვა მიმღები სჭირდება.

გაგზავნამდე გადაწყვიტეთ, რომელს ეხება თქვენი აღმოჩენა, რადგან არასწორ მხარეს მიმართვა ჩვეულებრივ სიჩუმით მთავრდება და არა დაბრუნებით.

რას ამტკიცებს არყოფნა და რას არა

ცარიელი შეტყობინებების სია არ ამტკიცებს, რომ პროდუქტი ხარვეზებისგან თავისუფალია. ეს შეიძლება ნიშნავდეს ახალგაზრდა პროექტს, პატარა ზედაპირს, ან იმას, რომ არავინ უყურებს.

ასევე, არმყოფი პოლიტიკის გვერდი ბოროტი განზრახვის მტკიცებულება არ არის. ეს მტკიცებულებაა, რომ პროცესს ვერ ამოწმებთ, და ეს არის ჩასაწერი პატიოსანი დასკვნა.

რა უნდა ჩაიწეროს

ჩაწერეთ ოთხი ფაქტი: კონტაქტი, რომელიც შეგიძლიათ შეამოწმოთ, ფარგლები, რომელიც ფარავს თქვენს ვერსიას, შეტყობინებები, რომლებიც ასახელებენ გამოსწორებულ გამოცემებს, და გამოცემების ისტორია, რომელიც აჩვენებს, რომ გამოსწორებები გამოდის.

შემდეგ ჩაწერეთ, რა რჩება უცნობად. მიმოხილვა, რომელიც ამას ამბობს, უფრო სასარგებლოა, ვიდრე ის, რომელიც არმყოფ პოლიტიკას უსაფრთხოების მტკიცებად აქცევს.