보안 정책 페이지는 공개 프로세스가 아니다

진지한 프로젝트에는 보안 페이지가 있고, 페이지는 값싸다. 유용한 질문은 문서화된 경로로 보낸 보고가 일반 사용자가 설치할 수 있는 수정 버전으로 이어지는가이다. 그것은 하나의 주장이 아니라 네 가지 증거를 요구하며, 모두 무엇도 탐색하지 않고 외부에서 확인할 수 있다. 어느 것도 다른 사람의 서버를 상대로 한 시험이 필요하지 않다. 모두 한 페이지 메모에 들어간다.

경로를 찾고 그것이 존재하는지 확인한다

문서화된 경로는 보안 정책 페이지, 전용 주소, 또는 /.well-known/security.txt 파일이며, 그 Contact 필드가 RFC 9116으로 정의된다.

그다음 친절한 서문이 아니라 범위 문단을 읽는다. 어떤 제품이 포함되고, 어떤 버전이며, 프로젝트는 어떤 처리를 요구하는가?

다른 프로젝트에 속하거나 유지 관리자가 아니라 호스팅 제공자에 속한 경로는 평가하는 소프트웨어의 공개 프로세스가 아니다.

공개 트래커인가 비공개 경로인가

일반 결함은 공개 트래커에 속하고 거기서 이익을 얻는다. 악용 가능한 세부 정보가 담긴 보고는 그렇지 않으며, 공개적으로 제출하면 유지 관리자가 아직 읽고 있는 동안 사용자를 노출시킨다.

공개 트래커만 제공하는 프로젝트는 문서에 무엇이라 적혀 있든 공개 경로를 제공하지 않은 것이다.

이 중 어느 것도 소유하지 않은 시스템을 시험할 권한을 주지 않는다. 보고 주소는 정보를 보내라는 초대이며, 무관한 공개 서버를 탐색할 허가가 아니다.

한 가지 수정을 처음부터 끝까지 따라간다

과거 공지를 골라, 영향을 받은 버전과 이를 수정하는 릴리스를 밝히는지, 사용자가 그 릴리스를 실제로 설치할 수 있는지 추적한다.

그 자취가 확인과 수리의 차이다. 릴리스를 한 번도 내지 않는 정중한 답변은 홍보 결과일 뿐이다. 버전 번호와 다운로드 링크가 있는 간결한 공지는 작동하는 프로세스다. 좋은 공지는 무엇이 영향을 받았는지, 영향은 무엇인지, 어느 버전이 수정하는지, 어디서 구하는지 네 가지에 빠르게 답한다.

릴리스 이력이 나머지를 채운다. 명확한 기록이 있는 정기 릴리스는 수정을 내보낼 수 있는 프로젝트를 뜻하며, 그것이 유창한 정책보다 중요하다.

클라이언트 유지 관리자인가 서비스 운영자인가

VPN의 경우 클라이언트를 작성하는 사람과 게이트웨이를 운영하는 사람이 종종 다른 조직이다. 클라이언트 코드의 문제와 서버 배포의 실수는 서로 다른 수신자를 필요로 한다.

잘못된 쪽으로 보내면 보통 반송이 아니라 침묵으로 끝나므로, 보내기 전에 발견 사항이 둘 중 어디에 해당하는지 정한다.

부재가 증명하는 것과 증명하지 않는 것

공지 목록이 비어 있다고 제품에 결함이 없다는 증거는 아니다. 젊은 프로젝트, 작은 표면, 또는 아무도 보지 않는다는 뜻일 수 있다.

마찬가지로 정책 페이지가 없다고 악의의 증거는 아니다. 프로세스를 확인할 수 없다는 증거이며, 그것이 기록해야 할 정직한 결론이다.

무엇을 적을 것인가

확인할 수 있는 연락처, 해당 버전을 포괄하는 범위, 수정된 릴리스를 밝히는 공지, 수정이 나온다는 것을 보여 주는 릴리스 이력 네 가지 사실을 기록한다.

그다음 알 수 없는 것으로 남는 것을 적는다. 그렇게 말하는 검토가 없는 정책을 보안 주장으로 바꾸는 검토보다 유용하다.