หน้าเพจเกี่ยวกับนโยบายความปลอดภัยไม่ใช่กระบวนการเปิดเผย

ทุกโครงการจริงจังมีหน้าเพจความปลอดภัย และการมีเพจนั้นต้นทุนต่ำ คำถามที่มีประโยชน์คือ รายงานที่ส่งผ่านช่องทางที่ระบุไว้จะนำไปสู่การออกรุ่นที่แก้ไขแล้วซึ่งผู้ใช้ทั่วไปติดตั้งได้หรือไม่ สิ่งนี้ต้องใช้หลักฐานสี่ชิ้นแทนการกล่าวอ้างหนึ่งครั้ง และทั้งหมดตรวจสอบได้จากภายนอกโดยไม่ต้องตรวจค้นใด ๆ ไม่มีข้อใดต้องทดสอบกับเซิร์ฟเวอร์ของคนอื่น ทั้งหมดพอดีอยู่ในบันทึกหนึ่งหน้า

ค้นหาช่องทางและตรวจสอบว่ามีอยู่จริง

เริ่มจากเส้นทางที่ระบุไว้ ได้แก่ หน้าเพจนโยบายความปลอดภัย ที่อยู่เฉพาะ หรือไฟล์ /.well-known/security.txt ซึ่งฟิลด์ Contact ถูกกำหนดโดย RFC 9116

จากนั้นอ่านย่อหน้าเรื่องขอบเขตแทนคำนำที่เป็นมิตร มีผลิตภัณฑ์ใดบ้างที่ครอบคลุม เวอร์ชันใด และโครงการต้องการการจัดการแบบใด

ช่องทางที่เป็นของโครงการอื่น หรือเป็นของผู้ให้บริการโฮสติ้งแทนผู้ดูแล ไม่ใช่กระบวนการเปิดเผยสำหรับซอฟต์แวร์ที่คุณกำลังประเมิน

ตัวติดตามสาธารณะหรือช่องทางส่วนตัว

ข้อบกพร่องทั่วไปควรอยู่ในตัวติดตามสาธารณะและได้ประโยชน์จากมัน รายงานที่มีรายละเอียดที่ใช้โจมตีได้ไม่ควร และการส่งแบบเปิดเผยจะทำให้ผู้ใช้ตกอยู่ในความเสี่ยงขณะที่ผู้ดูแลยังอ่านอยู่

โครงการที่เสนอเพียงตัวติดตามสาธารณะไม่ได้จัดให้มีช่องทางเปิดเผย ไม่ว่าเอกสารจะกล่าวอย่างไร

ไม่มีข้อใดอนุญาตให้ทดสอบระบบที่คุณไม่ได้เป็นเจ้าของ ที่อยู่สำหรับรายงานคือคำเชิญให้ส่งข้อมูล ไม่ใช่การอนุญาตให้ตรวจค้นเซิร์ฟเวอร์สาธารณะที่ไม่เกี่ยวข้อง

ติดตามการแก้ไขหนึ่งครั้งตั้งแต่ต้นจนจบ

เลือกประกาศในอดีตแล้วติดตามดูว่า ระบุเวอร์ชันที่ได้รับผลกระทบและรุ่นที่แก้ไขหรือไม่ และผู้ใช้ติดตั้งรุ่นนั้นได้จริงหรือไม่

ร่องรอยนั้นคือความแตกต่างระหว่างการรับทราบกับการซ่อมแซม คำตอบสุภาพที่ไม่เคยออกรุ่นใด ๆ คือผลลัพธ์ด้านประชาสัมพันธ์ ประกาศสั้น ๆ ที่มีหมายเลขเวอร์ชันและลิงก์ดาวน์โหลดคือกระบวนการที่ทำงานได้ ประกาศที่ดีตอบสี่เรื่องได้อย่างรวดเร็ว คืออะไรได้รับผลกระทบ ผลกระทบคืออะไร เวอร์ชันใดแก้ไข และหาได้จากที่ใด

ประวัติการออกรุ่นเติมส่วนที่เหลือให้สมบูรณ์ การออกรุ่นสม่ำเสมอพร้อมบันทึกที่ชัดเจนบ่งชี้ว่าโครงการสามารถส่งการแก้ไขได้ ซึ่งสำคัญกว่านโยบายที่พูดจาไพเราะ

ผู้ดูแลไคลเอนต์หรือผู้ให้บริการ

สำหรับ VPN คนที่เขียนไคลเอนต์และคนที่ดำเนินการเกตเวย์มักเป็นองค์กรที่แตกต่างกัน ปัญหในโค้ดไคลเอนต์และความผิดพลาดในการติดตั้งเซิร์ฟเวอร์ต้องส่งถึงผู้รับที่ต่างกัน

ตัดสินใจว่าสิ่งที่คุณพบเกี่ยวข้องกับฝ่ายใดก่อนส่ง เพราะการส่งไปยังฝ่ายผิดมักจบลงด้วยความเงียบแทนการตีกลับ

การไม่มีอยู่พิสูจน์อะไร และไม่พิสูจน์อะไร

รายการประกาศว่างเปล่าไม่ได้พิสูจน์ว่าผลิตภัณฑ์ปราศจากข้อบกพร่อง อาจหมายถึงโครงการที่ยังใหม่ พื้นที่ผิวเล็ก หรือไม่มีใครดูอยู่

เช่นเดียวกัน การไม่มีหน้าเพจนโยบายไม่ใช่หลักฐานของเจตนาไม่ดี แต่เป็นหลักฐานว่าคุณตรวจสอบกระบวนการไม่ได้ และนั่นคือข้อสรุปที่ซื่อสัตย์ซึ่งควรบันทึกไว้

สิ่งที่ควรบันทึก

บันทึกข้อเท็จจริงสี่ประการ ได้แก่ ช่องทางติดต่อที่ตรวจสอบได้ ขอบเขตที่ครอบคลุมเวอร์ชันของคุณ ประกาศที่ระบุรุ่นที่แก้ไข และประวัติการออกรุ่นที่แสดงว่าการแก้ไขออกมา

จากนั้นบันทึกสิ่งที่ยังไม่ทราบ การทบทวนที่บอกเช่นนั้นมีประโยชน์กว่าการทบทวนที่เปลี่ยนนโยบายที่ขาดหายให้เป็นการกล่าวอ้างเรื่องความปลอดภัย