Ei side om tryggleikspolicy er ikkje ein offentleggjeringsprosess

Kvart seriøst prosjekt har ei tryggleiksside, og ei side er billeg. Det nyttige spørsmålet er om ein rapport send gjennom den dokumenterte kanalen fører til ein retta utgiving som vanlege brukarar kan installera. Det krev fire prov i staden for éin påstand, og alle er kontrollerbare utanfrå utan å undersøkja noko. Ingen av dei krev ein test mot nokon annan sin server. Alle får plass på éi side med notat.

Finn kanalen og undersøk at han finst

Byrja med den dokumenterte vegen: ei side om tryggleikspolicy, ei dedikert adresse eller ei /.well-known/security.txt-fil der feltet Contact er definert av RFC 9116.

Les deretter avsnittet om omfanget i staden for den venlege introduksjonen. Kva produkt er dekte, kva versjonar, og kva handsaming ber prosjektet om?

Ein kanal som høyrer til eit anna prosjekt, eller ein hostingleverandør i staden for vedlikehaldaren, er ikkje ein offentleggjeringsprosess for programvara du vurderer.

Offentleg tracker eller privat kanal

Vanlege feil høyrer heime i ein offentleg tracker og har nytte av han. Ein rapport med ein utnyttbar detalj gjer ikkje det, og offentleg innsending utset brukarane medan vedlikehaldaren framleis les han.

Eit prosjekt som berre tilbyr ein offentleg tracker, har ikkje gitt ein offentleggjeringskanal, uansett kva dokumentasjonen seier.

Ingenting av dette tillèt testing av system du ikkje eig. Ei rapporteringsadresse er ei innbyding til å senda informasjon, ikkje løyve til å undersøkja urelaterte offentlege serverar.

Følg éi retting frå start til slutt

Vel eit tidlegare varsel og følg det: namngir det dei berørte versjonane og utgivinga som rettar dei, og kan ein brukar faktisk installera den utgivinga?

Det sporet er skilnaden mellom ei erkjenning og ein reparasjon. Eit høfleg svar som aldri fører til ei utgiving, er eit resultat for omdømmearbeid. Eit kort varsel med versjonsnummer og nedlastingslenkje er ein fungerande prosess. Eit godt varsel svarar raskt på fire ting: kva som er berørt, kva påverknaden er, kva versjon som rettar det, og kvar ein får tak i det.

Utgivingshistorikken fyller ut resten. Regelmessige utgivingar med klare notat tyder på eit prosjekt som kan levera ei retting, og det betyr meir enn ein veltalande policy.

Vedlikehaldar av klienten eller operatør av tenesta

For ein VPN er dei som skriv klienten, og dei som driv ein gateway, ofte ulike organisasjonar. Eit problem i klientkoden og ein feil ved serverutrulling krev ulike mottakarar.

Avgjer kva av dei to funnet ditt gjeld, før du sender det, fordi å senda det til feil part endar vanlegvis i stille i staden for ein retur.

Kva fråvær provar, og kva det ikkje provar

Ei tom varselliste provar ikkje at eit produkt er fritt for feil. Det kan bety eit ungt prosjekt, ei lita flate, eller at ingen ser.

På same måte er ei manglande policyside ikkje prov på vond tru. Det er prov på at du ikkje kan verifisera prosessen, og det er den ærlege konklusjonen å notera.

Kva som skal skrivast ned

Noter fire fakta: ein kontakt du kan verifisera, eit omfang som dekkjer versjonen din, varsel som namngir retta utgivingar, og ein utgivingshistorikk som viser at rettingar kjem ut.

Noter deretter kva som blir ukjent. Ein gjennomgang som seier det, er nyttigare enn ein som gjer ein manglande policy til ein påstand om tryggleik.