Stran politike varnosti ni postopek razkritja

Vsak resen projekt ima varnostno stran, stran pa je poceni. Koristno vprašanje je, ali poročilo, poslano po dokumentirani poti, privede do popravljene izdaje, ki jo lahko namestijo običajni uporabniki. To zahteva štiri dokaze namesto ene trditve, in vsi so preverljivi od zunaj brez kakršnega koli sondiranja. Noben ne zahteva preizkusa proti tujemu strežniku. Vsi se prilegajo na eno stran zapiskov.

Poiščite pot in preverite, da obstaja

Začnite z dokumentirano potjo: stran politike varnosti, namenski naslov ali datoteka /.well-known/security.txt, katere polje Contact je opredeljeno v RFC 9116.

Nato preberite odstavek o obsegu, ne prijaznega uvoda. Kateri izdelki so zajeti, katere različice in kakšno obravnavo projekt zahteva?

Pot, ki pripada drugemu projektu ali ponudniku gostovanja namesto vzdrževalcu, ni postopek razkritja za programsko opremo, ki jo ocenjujete.

Javni sledilnik ali zasebna pot

Običajne napake spadajo v javni sledilnik in imajo od njega korist. Poročilo z izkoristljivo podrobnostjo ne, javna predložitev pa izpostavi uporabnike, medtem ko vzdrževalec še bere.

Projekt, ki ponuja samo javni sledilnik, ni zagotovil poti za razkritje, kar koli pravi njegova dokumentacija.

Nič od tega ne dovoljuje preizkušanja sistemov, ki niso vaši. Naslov za poročila je povabilo k pošiljanju informacij, ne dovoljenje za sondiranje nepovezanih javnih strežnikov.

Sledite enemu popravku od začetka do konca

Izberite prejšnje obvestilo in mu sledite: ali navaja prizadete različice in izdajo, ki jih popravi, in ali lahko uporabnik to izdajo resnično namesti?

Ta sled je razlika med potrditvijo in popravilom. Vljuden odgovor, ki nikoli ne izda različice, je izid za odnose z javnostmi. Kratko obvestilo s številko različice in povezavo za prenos je delujoč postopek. Dobro obvestilo hitro odgovori na štiri stvari: kaj je prizadeto, kakšen je učinek, katera različica to popravi in kje to dobiti.

Zgodovina izdaj dopolni ostalo. Redne izdaje z jasnimi zapiski kažejo na projekt, ki lahko dostavi popravek, in to je pomembnejše od zgovorne politike.

Vzdrževalec odjemalca ali operater storitve

Pri VPN so ljudje, ki pišejo odjemalca, in ljudje, ki upravljajo prehod, pogosto različne organizacije. Težava v kodi odjemalca in napaka pri uvajanju strežnika potrebujeta različne prejemnike.

Preden pošljete, se odločite, katerega od obeh se tiče vaša ugotovitev, ker usmerjanje na napačno stran se običajno konča s tišino namesto z odbojem.

Kaj dokazuje odsotnost in kaj ne

Prazen seznam obvestil ne dokazuje, da je izdelek brez napak. Lahko pomeni mlad projekt, majhno površino ali da nihče ne gleda.

Prav tako manjkajoča stran politike ni dokaz slabe vere. Je dokaz, da postopka ne morete preveriti, in to je pošten sklep, ki ga je treba zabeležiti.

Kaj zapisati

Zapišite štiri dejstva: kontakt, ki ga lahko preverite, obseg, ki pokriva vašo različico, obvestila, ki navajajo popravljene izdaje, in zgodovino izdaj, ki kaže, da popravki izhajajo.

Nato zabeležite, kaj ostaja neznano. Pregled, ki to pove, je koristnejši od tistega, ki manjkajočo politiko spremeni v trditev o varnosti.