Güvenlik politikası sayfası bir açıklama süreci değildir

Her ciddi projenin bir güvenlik sayfası vardır ve sayfa ucuzdur. Yararlı soru, belgelenmiş kanaldan gönderilen bir raporun sıradan kullanıcıların kurabileceği düzeltilmiş bir sürümle sonuçlanıp sonuçlanmadığıdır. Bu, bir iddia yerine dört kanıt gerektirir ve hepsi dışarıdan, hiçbir şey yoklanmadan doğrulanabilir. Hiçbiri başkasının sunucusuna karşı test gerektirmez. Hepsi tek bir sayfa nota sığar.

Kanalı bulun ve var olduğunu doğrulayın

Belgelenmiş yoldan başlayın: bir güvenlik politikası sayfası, özel bir adres veya /.well-known/security.txt dosyası; bu dosyanın Contact alanı RFC 9116 ile tanımlanır.

Ardından dostane giriş yerine kapsam paragrafını okuyun. Hangi ürünler kapsanıyor, hangi sürümler ve proje nasıl bir muamele istiyor?

Başka bir projeye ya da bakımcı yerine barındırma sağlayıcısına ait bir kanal, değerlendirdiğiniz yazılım için bir açıklama süreci değildir.

Genel izleyici mi özel kanal mı

Sıradan kusurlar genel bir izleyiciye aittir ve ondan fayda görür. Sömürülebilir ayrıntı içeren bir rapor değildir ve bunu herkese açık olarak göndermek, bakımcı hâlâ okurken kullanıcıları riske atar.

Yalnızca genel bir izleyici sunan proje, belgeleri ne derse desin, bir açıklama kanalı sağlamamıştır.

Bunların hiçbiri sahibi olmadığınız sistemleri test etmeye izin vermez. Bir bildirim adresi bilgi göndermeye davettir, ilgisiz genel sunucuları yoklama izni değildir.

Bir düzeltmeyi baştan sona izleyin

Geçmiş bir duyuru seçin ve izleyin: etkilenen sürümleri ve bunları düzelten sürümü adlandırıyor mu ve kullanıcı o sürümü gerçekten kurabiliyor mu?

Bu iz, bir teyit ile bir onarım arasındaki farktır. Hiçbir zaman sürüm üretmeyen nazik bir yanıt, halkla ilişkiler sonucudur. Sürüm numarası ve indirme bağlantısı içeren kısa bir duyuru işleyen bir süreçtir. İyi bir duyuru dört şeye hızla yanıt verir: ne etkilendi, etkisi ne, hangi sürüm düzeltiyor ve nereden alınır.

Sürüm geçmişi geri kalanı tamamlar. Açık notlarla düzenli sürümler, düzeltme gönderebilen bir projeye işaret eder ve bu, belagatlı bir politikadan daha önemlidir.

İstemci bakımcısı mı hizmet operatörü mü

Bir VPN için istemciyi yazanlar ve ağ geçidini işletenler genellikle farklı kuruluşlardır. İstemci kodundaki bir sorun ve sunucu kurulumundaki bir hata farklı alıcılar gerektirir.

Bulgularınızın hangisiyle ilgili olduğuna göndermeden önce karar verin, çünkü yanlış tarafa yönlendirmek genellikle geri dönüşle değil sessizlikle biter.

Yokluk neyi kanıtlar, neyi kanıtlamaz

Boş bir duyuru listesi, bir ürünün kusursuz olduğunu kanıtlamaz. Genç bir proje, küçük bir yüzey ya da kimsenin bakmadığı anlamına gelebilir.

Aynı şekilde, eksik bir politika sayfası kötü niyetin kanıtı değildir. Süreci doğrulayamadığınızın kanıtıdır ve kaydedilmesi gereken dürüst sonuç budur.

Neyin yazılacağı

Dört olguyu kaydedin: doğrulayabileceğiniz bir iletişim, sürümünüzü kapsayan bir kapsam, düzeltilmiş sürümleri adlandıran duyurular ve düzeltmelerin çıktığını gösteren bir sürüm geçmişi.

Ardından bilinmeyen kalanı not edin. Bunu söyleyen bir inceleme, eksik bir politikayı güvenlik iddiasına dönüştüren bir incelemeden daha yararlıdır.