O pagină de politică de securitate nu este un proces de divulgare

Fiecare proiect serios are o pagină de securitate, iar o pagină este ieftină. Întrebarea utilă este dacă un raport trimis prin canalul documentat produce o versiune corectată pe care utilizatorii obișnuiți o pot instala. Asta cere patru dovezi în loc de o afirmație, și toate sunt verificabile din exterior fără a sonda nimic. Niciuna nu necesită un test împotriva serverului altcuiva. Toate încap pe o pagină de notițe.

Găsiți canalul și verificați că există

Începeți cu ruta documentată: o pagină de politică de securitate, o adresă dedicată sau un fișier /.well-known/security.txt al cărui câmp Contact este definit de RFC 9116.

Apoi citiți paragraful despre acoperire, nu introducerea prietenoasă. Ce produse sunt acoperite, ce versiuni și ce tratament cere proiectul?

Un canal care aparține altui proiect, sau unui furnizor de găzduire în loc de întreținător, nu este un proces de divulgare pentru software-ul pe care îl evaluați.

Tracker public sau canal privat

Defectele obișnuite aparțin unui tracker public și beneficiază de el. Un raport care conține un detaliu exploatabil nu, iar depunerea lui publică expune utilizatorii în timp ce întreținătorul încă îl citește.

Un proiect care oferă doar un tracker public nu a furnizat un canal de divulgare, orice ar spune documentația sa.

Nimic din toate acestea nu autorizează testarea unor sisteme care nu vă aparțin. O adresă de raportare este o invitație de a trimite informații, nu o permisiune de a sonda servere publice nelegate.

Urmăriți o corectare de la început până la sfârșit

Alegeți un anunț anterior și urmăriți-l: numește versiunile afectate și versiunea care le corectează, și poate un utilizator să instaleze într-adevăr acea versiune?

Acea urmă este diferența dintre o confirmare și o reparație. Un răspuns politicos care nu produce niciodată o versiune este un rezultat de relații publice. Un anunț scurt cu un număr de versiune și un link de descărcare este un proces funcțional. Un anunț bun răspunde repede la patru lucruri: ce este afectat, care este impactul, ce versiune îl corectează și de unde se obține.

Istoricul versiunilor completează restul. Versiunile regulate cu note clare sugerează un proiect care poate livra o corectare, iar asta contează mai mult decât o politică elocventă.

Întreținătorul clientului sau operatorul serviciului

Pentru un VPN, cei care scriu clientul și cei care operează o poartă sunt adesea organizații diferite. O problemă în codul clientului și o eroare de implementare a serverului necesită destinatari diferiți.

Decideți căreia dintre cele două îi privește descoperirea dumneavoastră înainte de a o trimite, pentru că direcționarea către partea greșită se termină de obicei în tăcere, nu într-un retur.

Ce dovedește absența și ce nu

O listă de anunțuri goală nu demonstrează că un produs este lipsit de defecte. Poate însemna un proiect tânăr, o suprafață mică sau că nimeni nu se uită.

La fel, o pagină de politică absentă nu este dovadă de rea-credință. Este dovada că nu puteți verifica procesul, și aceasta este concluzia onestă de consemnat.

Ce să notați

Notați patru fapte: un contact pe care îl puteți verifica, o acoperire care include versiunea dumneavoastră, anunțuri care numesc versiunile corectate și un istoric al versiunilor care arată că corectările apar.

Apoi notați ce rămâne necunoscut. O analiză care spune asta este mai utilă decât una care transformă o politică absentă într-o afirmație de securitate.