Saugumo politikos puslapis nėra atskleidimo procesas

Kiekvienas rimtas projektas turi saugumo puslapį, o puslapis pigus. Naudingas klausimas – ar per dokumentuotą kanalą išsiųsta ataskaita duoda pataisytą leidimą, kurį paprasti naudotojai gali įdiegti. Tam reikia keturių įrodymų vietoj vieno teiginio, ir visi jie patikrinami iš išorės nieko netyrinėjant. Nė vienas nereikalauja bandymo prieš kito serverį. Visi telpa viename puslapyje užrašų.

Raskite kanalą ir patikrinkite, ar jis egzistuoja

Pradėkite nuo dokumentuoto kelio: saugumo politikos puslapio, skirto adreso arba failo /.well-known/security.txt, kurio laukas Contact apibrėžtas RFC 9116.

Tada skaitykite apimties pastraipą, o ne draugišką įžangą. Kurie produktai apimti, kurios versijos ir kokio elgesio projektas prašo?

Kanalas, priklausantis kitam projektui arba prieglobos teikėjui, o ne prižiūrėtojui, nėra vertinamos programinės įrangos atskleidimo procesas.

Viešas sekiklis ar privatus kanalas

Įprasti defektai priklauso viešam sekikliui ir iš jo gauna naudos. Ataskaita su išnaudojama detale – ne, o jos paskelbimas viešai atskleidžia naudotojus, kol prižiūrėtojas ją dar skaito.

Projektas, siūlantis tik viešą sekiklį, nesuteikė atskleidimo kanalo, ką bebūtų sakoma jo dokumentacijoje.

Niekas iš to nepateisina sistemų, kurių nevaldote, bandymo. Ataskaitų adresas yra kvietimas siųsti informaciją, o ne leidimas tyrinėti nesusijusius viešus serverius.

Sekite vieną pataisą nuo pradžios iki pabaigos

Pasirinkite ankstesnį pranešimą ir atsekite jį: ar jis įvardija paveiktas versijas ir leidimą, kuris jas pataiso, ir ar naudotojas iš tikrųjų gali įdiegti tą leidimą?

Šis pėdsakas yra skirtumas tarp patvirtinimo ir remonto. Mandagus atsakymas, kuris niekada neišleidžia versijos, yra viešųjų ryšių rezultatas. Trumpas pranešimas su versijos numeriu ir atsisiuntimo nuoroda yra veikiantis procesas. Geras pranešimas greitai atsako į keturis dalykus: kas paveikta, koks poveikis, kuri versija pataiso ir kur ją gauti.

Leidimų istorija užpildo likusią dalį. Reguliarūs leidimai su aiškiomis pastabomis rodo projektą, galintį pristatyti pataisą, ir tai svarbiau nei iškalbinga politika.

Kliento prižiūrėtojas ar paslaugos operatorius

VPN atveju klientą rašantys žmonės ir šliuzą valdantys žmonės dažnai yra skirtingos organizacijos. Kliento kodo problema ir serverio diegimo klaida reikalauja skirtingų gavėjų.

Nuspręskite, kurio iš dviejų susijęs jūsų radinys, prieš jį siųsdami, nes nukreipimas ne tai pusei paprastai baigiasi tyla, o ne atmetimu.

Ką įrodo nebuvimas, o ko ne

Tuščias pranešimų sąrašas neįrodo, kad produktas neturi defektų. Tai gali reikšti jauną projektą, mažą paviršių arba kad niekas nežiūri.

Taip pat nėra politikos puslapio – tai nėra blogos valios įrodymas. Tai įrodymas, kad negalite patikrinti proceso, ir tai yra sąžininga išvada, kurią reikia užrašyti.

Ką užrašyti

Užrašykite keturis faktus: kontaktą, kurį galite patikrinti, apimtį, kuri apima jūsų versiją, pranešimus, įvardijančius pataisytus leidimus, ir leidimų istoriją, rodančią, kad pataisos išeina.

Tada pažymėkite, kas lieka nežinoma. Apžvalga, kuri tai pasako, yra naudingesnė už tą, kuri trūkstamą politiką paverčia saugumo teiginiu.