Halaman dasar keselamatan bukan proses pendedahan

Setiap projek serius mempunyai halaman keselamatan, dan halaman itu murah. Soalan yang berguna ialah sama ada laporan yang dihantar melalui saluran yang didokumenkan menghasilkan keluaran yang dibetulkan yang boleh dipasang oleh pengguna biasa. Itu memerlukan empat bukti dan bukan satu dakwaan, dan semuanya boleh disemak dari luar tanpa menyiasat apa-apa. Tiada satu pun memerlukan ujian terhadap pelayan orang lain. Semuanya muat pada satu halaman nota.

Cari saluran itu dan pastikan ia wujud

Mulakan dengan laluan yang didokumenkan: halaman dasar keselamatan, alamat khusus, atau fail /.well-known/security.txt yang medan Contact-nya ditakrifkan oleh RFC 9116.

Kemudian baca perenggan skop dan bukan pengenalan yang mesra. Produk mana yang dilindungi, versi mana, dan layanan apa yang diminta projek?

Saluran milik projek lain, atau milik penyedia pengehosan dan bukan penyelenggara, bukan proses pendedahan bagi perisian yang anda nilai.

Penjejak awam atau saluran peribadi

Kecacatan biasa ada tempatnya dalam penjejak awam dan mendapat manfaat daripadanya. Laporan yang mengandungi perincian yang boleh dieksploitasi tidak, dan memfailkannya secara terbuka mendedahkan pengguna semasa penyelenggara masih membacanya.

Projek yang hanya menawarkan penjejak awam belum menyediakan saluran pendedahan, apa pun kata dokumentasinya.

Tiada satu pun daripada ini membenarkan pengujian sistem yang bukan milik anda. Alamat pelaporan ialah jemputan untuk menghantar maklumat, bukan kebenaran untuk menyiasat pelayan awam yang tidak berkaitan.

Ikuti satu pembetulan dari awal hingga akhir

Pilih nasihat lama dan jejakinya: adakah ia menamakan versi terjejas dan keluaran yang membetulkannya, dan bolehkah pengguna benar-benar memasang keluaran itu?

Jejak itu ialah perbezaan antara pengakuan dan pembaikan. Balasan sopan yang tidak pernah menghasilkan keluaran ialah hasil perhubungan awam. Nasihat ringkas dengan nombor versi dan pautan muat turun ialah proses yang berfungsi. Nasihat yang baik menjawab empat perkara dengan cepat: apa yang terjejas, apa kesannya, versi mana yang membetulkannya dan di mana mendapatkannya.

Sejarah keluaran mengisi selebihnya. Keluaran tetap dengan nota yang jelas menunjukkan projek yang mampu menghantar pembetulan, dan itu lebih penting daripada dasar yang fasih.

Penyelenggara klien atau pengendali perkhidmatan

Bagi VPN, orang yang menulis klien dan orang yang mengendalikan get laluan selalunya organisasi berbeza. Masalah dalam kod klien dan kesilapan penggunaan pelayan memerlukan penerima yang berbeza.

Tentukan mana antara keduanya berkaitan dengan penemuan anda sebelum menghantarnya, kerana menghalakannya kepada pihak yang salah biasanya berakhir dengan senyap dan bukan lantunan.

Apa yang dibuktikan oleh ketiadaan, dan apa yang tidak

Senarai nasihat yang kosong tidak membuktikan bahawa produk bebas daripada kecacatan. Ia boleh bermakna projek muda, permukaan kecil, atau tiada siapa yang melihat.

Begitu juga, halaman dasar yang tiada bukan bukti niat buruk. Ia bukti bahawa anda tidak dapat mengesahkan proses itu, dan itulah kesimpulan jujur yang perlu dicatat.

Apa yang perlu dicatat

Catat empat fakta: kenalan yang boleh anda sahkan, skop yang meliputi versi anda, nasihat yang menamakan keluaran yang dibetulkan, dan sejarah keluaran yang menunjukkan bahawa pembetulan dihantar.

Kemudian catat apa yang masih tidak diketahui. Semakan yang menyatakannya lebih berguna daripada semakan yang mengubah dasar yang tiada menjadi dakwaan keselamatan.