Страница безбедносне политике није процес откривања

Сваки озбиљан пројекат има безбедносну страницу, а страница је јефтина. Корисно питање је да ли извештај послат документованим каналом даје исправљено издање које обични корисници могу да инсталирају. За то су потребна четири доказа уместо једне тврдње, и сви су проверљиви споља без икаквог сондирања. Ниједан не захтева тест против туђег сервера. Сви стану на једну страницу белешки.

Нађите канал и проверите да постоји

Почните од документоване руте: страница безбедносне политике, намењена адреса или датотека /.well-known/security.txt чије је поље Contact дефинисано у RFC 9116.

Затим прочитајте пасус о обухвату, а не љубазни увод. Који су производи обухваћени, које верзије и какво поступање пројекат тражи?

Канал који припада другом пројекту или хостинг провајдеру уместо одржаваоцу није процес откривања за софтвер који процењујете.

Јавни тракер или приватни канал

Обични недостаци припадају јавном тракеру и имају користи од њега. Извештај са злоупотребљивим детаљем не, а јавно подношење излаже кориснике док одржавалац још чита.

Пројекат који нуди само јавни тракер није обезбедио канал откривања, шта год говорила његова документација.

Ништа од овога не дозвољава тестирање система које не поседујете. Адреса за извештаје је позив да пошаљете информације, а не дозвола да сондирате неповезане јавне сервере.

Пратите један исправак од почетка до краја

Изаберите раније обавештење и пратите га: именује ли погођене верзије и издање које их исправља, и може ли корисник заиста да инсталира то издање?

Тај траг је разлика између потврде и поправке. Љубазан одговор који никада не даје издање исход је за односе с јавношћу. Кратко обавештење с бројем верзије и везом за преузимање је функционалан процес. Добро обавештење брзо одговара на четири ствари: шта је погођено, какав је утицај, која верзија исправља и где се може набавити.

Историја издања попуњава остало. Редовна издања с јасним белешкама указују на пројекат који може да испоручи исправак, што је важније од речита политика.

Одржавалац клијента или оператер услуге

За VPN су људи који пишу клијент и људи који управљају мрежним пролазом често различите организације. Проблем у коду клијента и грешка при постављању сервера траже различите примаоце.

Одлучите на који се од њих односи ваш налаз пре него што га пошаљете, јер усмеравање на погрешну страну обично завршава тишином уместо одбијањем.

Шта одсуство доказује, а шта не

Празна листа обавештења не доказује да је производ без недостатака. Може значити млад пројекат, малу површину или да нико не гледа.

Исто тако, одсутна страница политике није доказ лоше намере. То је доказ да не можете да проверите процес, и то је искрен закључак који треба записати.

Шта записати

Запишите четири чињенице: контакт који можете да проверите, обухват који покрива вашу верзију, обавештења која именују исправљена издања и историју издања која показује да исправке излазе.

Затим забележите шта остаје непознато. Преглед који то каже кориснији је од оног који недостајућу политику претвара у тврдњу о безбедности.