Stránka bezpečnostnej politiky nie je procesom zverejňovania

Každý seriózny projekt má bezpečnostnú stránku a stránka je lacná. Užitočná otázka je, či hlásenie poslané dokumentovaným kanálom vedie k opravenému vydaniu, ktoré bežní používatelia môžu nainštalovať. To si vyžaduje štyri dôkazy namiesto jedného tvrdenia a všetky sú overiteľné zvonku bez akéhokoľvek sondovania. Žiadny nevyžaduje test proti cudziemu serveru. Všetky sa zmestia na jednu stránku poznámok.

Nájdite kanál a overte, že existuje

Začnite dokumentovanou cestou: stránka bezpečnostnej politiky, vyhradená adresa alebo súbor /.well-known/security.txt, ktorého pole Contact je definované v RFC 9116.

Potom čítajte odsek o rozsahu, nie priateľský úvod. Ktoré produkty sú pokryté, ktoré verzie a aké zaobchádzanie projekt žiada?

Kanál, ktorý patrí inému projektu alebo poskytovateľovi hostingu namiesto správcu, nie je procesom zverejňovania pre softvér, ktorý hodnotíte.

Verejný tracker alebo súkromný kanál

Bežné chyby patria do verejného trackeru a majú z neho úžitok. Hlásenie s využiteľným detailom nie, a jeho verejné podanie vystavuje používateľov, kým správca ho ešte číta.

Projekt, ktorý ponúka len verejný tracker, neposkytol kanál na zverejňovanie, nech jeho dokumentácia hovorí čokoľvek.

Nič z toho neoprávňuje testovať systémy, ktoré nevlastníte. Adresa na hlásenia je pozvanie poslať informácie, nie povolenie sondovať nesúvisiace verejné servery.

Sledujte jednu opravu od začiatku do konca

Vyberte staršie oznámenie a sledujte ho: uvádza postihnuté verzie a vydanie, ktoré ich opravuje, a môže používateľ toto vydanie skutočne nainštalovať?

Táto stopa je rozdiel medzi potvrdením a opravou. Zdvorilá odpoveď, ktorá nikdy nevydá verziu, je výsledok pre vzťahy s verejnosťou. Stručné oznámenie s číslom verzie a odkazom na stiahnutie je fungujúci proces. Dobré oznámenie rýchlo odpovedá na štyri veci: čo je postihnuté, aký je dopad, ktorá verzia to opravuje a kde to získať.

História vydaní dopĺňa zvyšok. Pravidelné vydania s jasnými poznámkami naznačujú projekt, ktorý dokáže dodať opravu, a to je dôležitejšie než výrečná politika.

Správca klienta alebo prevádzkovateľ služby

Pri VPN sú ľudia, ktorí píšu klienta, a ľudia, ktorí prevádzkujú bránu, často rôzne organizácie. Problém v kóde klienta a chyba pri nasadení servera potrebujú rôznych príjemcov.

Rozhodnite, ktorého z dvoch sa váš nález týka, skôr než ho pošlete, pretože nasmerovanie na nesprávnu stranu zvyčajne skončí tichom namiesto odrazenia.

Čo neprítomnosť dokazuje a čo nie

Prázdny zoznam oznámení nedokazuje, že produkt je bez chýb. Môže znamenať mladý projekt, malú plochu alebo že sa nikto nepozerá.

Rovnako chýbajúca stránka politiky nie je dôkazom zlej vôle. Je dôkazom, že proces nemôžete overiť, a to je čestný záver, ktorý treba zaznamenať.

Čo si zapísať

Zapíšte štyri fakty: kontakt, ktorý môžete overiť, rozsah, ktorý pokrýva vašu verziu, oznámenia uvádzajúce opravené vydania a históriu vydaní, ktorá ukazuje, že opravy vychádzajú.

Potom poznamenajte, čo zostáva neznáme. Recenzia, ktorá to hovorí, je užitočnejšia než tá, ktorá z chýbajúcej politiky robí tvrdenie o bezpečnosti.