Страницата со безбедносна политика не е процес на откривање

Секој сериозен проект има безбедносна страница, а страницата е евтина. Корисното прашање е дали извештај испратен преку документираниот канал дава поправено издание што обичните корисници можат да го инсталираат. За тоа се потребни четири докази наместо една тврдење, и сите се проверливи однадвор без ништо да се испитува. Ниту еден не бара тест против туѓ сервер. Сите се собираат на една страница белешки.

Најдете го каналот и проверете дека постои

Започнете со документираната рута: страница со безбедносна политика, посветена адреса или датотека /.well-known/security.txt чие поле Contact е дефинирано со RFC 9116.

Потоа прочитајте го пасусот за обемот, а не пријателскиот вовед. Кои производи се опфатени, кои верзии и какво постапување бара проектот?

Канал што припаѓа на друг проект или на хостинг провајдер наместо на одржувачот не е процес на откривање за софтверот што го оценувате.

Јавен тракер или приватен канал

Обичните дефекти припаѓаат во јавен тракер и имаат корист од него. Извештај што содржи искористлив детаљ не, а неговото јавно поднесување ги изложува корисниците додека одржувачот го чита.

Проект што нуди само јавен тракер не обезбедил канал за откривање, што и да вели неговата документација.

Ништо од ова не дозволува тестирање системи што не се ваши. Адресата за извештаи е покана да испратите информации, а не дозвола да истражувате неповрзани јавни сервери.

Следете една поправка од почеток до крај

Изберете претходно известување и следете го: дали ги именува засегнатите верзии и изданието што ги поправа, и може ли корисникот навистина да го инсталира тоа издание?

Таа трага е разликата меѓу потврда и поправка. Љубезен одговор што никогаш не дава издание е резултат за односи со јавноста. Кратко известување со број на верзија и врска за преземање е процес што функционира. Доброто известување брзо одговара на четири работи: што е засегнато, каков е ефектот, која верзија го поправа и каде да се добие.

Историјата на изданија го пополнува остатокот. Редовни изданија со јасни белешки укажуваат на проект што може да достави поправка, а тоа е поважно од красноречива политика.

Одржувач на клиентот или оператор на услугата

За VPN, луѓето што го пишуваат клиентот и луѓето што управуваат со порта често се различни организации. Проблем во кодот на клиентот и грешка при распоредување на серверот бараат различни примачи.

Одлучете на кое од двете се однесува вашето откритие пред да го испратите, бидејќи насочувањето кон погрешна страна обично завршува со тишина наместо со враќање.

Што докажува отсуството, а што не

Празен список на известувања не докажува дека производот е без дефекти. Може да значи млад проект, мала површина или дека никој не гледа.

Исто така, отсутна страница со политика не е доказ за лоша намера. Тоа е доказ дека не можете да го проверите процесот, и тоа е чесниот заклучок што треба да се запише.

Што да се запише

Запишете четири факти: контакт што можете да го проверите, обем што ја покрива вашата верзија, известувања што именуваат поправени изданија и историја на изданија што покажува дека поправките излегуваат.

Потоа забележете што останува непознато. Преглед што го кажува тоа е покорисен од оној што отсутната политика ја претвора во тврдење за безбедност.