Trang chính sách bảo mật không phải là quy trình công bố

Mọi dự án nghiêm túc đều có trang bảo mật, và một trang thì rẻ. Câu hỏi hữu ích là liệu một báo cáo gửi qua kênh đã được ghi nhận có dẫn tới một bản phát hành đã sửa mà người dùng thông thường có thể cài đặt hay không. Điều đó cần bốn bằng chứng thay vì một tuyên bố, và tất cả đều kiểm chứng được từ bên ngoài mà không cần dò xét gì. Không bằng chứng nào đòi hỏi thử nghiệm nhắm vào máy chủ của người khác. Tất cả đều vừa một trang ghi chú.

Tìm kênh và xác nhận rằng nó tồn tại

Hãy bắt đầu từ con đường đã được ghi nhận: một trang chính sách bảo mật, một địa chỉ riêng, hoặc một tệp /.well-known/security.txt mà trường Contact được định nghĩa bởi RFC 9116.

Sau đó hãy đọc đoạn về phạm vi thay vì phần giới thiệu thân thiện. Những sản phẩm nào được bao gồm, những phiên bản nào, và dự án yêu cầu cách xử lý ra sao?

Một kênh thuộc về dự án khác, hoặc thuộc nhà cung cấp dịch vụ lưu trữ thay vì người bảo trì, không phải là quy trình công bố cho phần mềm bạn đang đánh giá.

Trình theo dõi công khai hay kênh riêng

Các lỗi thông thường thuộc về trình theo dõi công khai và hưởng lợi từ nó. Một báo cáo chứa chi tiết có thể bị khai thác thì không, và việc đăng công khai sẽ đặt người dùng vào rủi ro trong khi người bảo trì vẫn đang đọc.

Một dự án chỉ cung cấp trình theo dõi công khai là chưa cung cấp kênh công bố, bất kể tài liệu của nó nói gì.

Không điều nào ở trên cho phép thử nghiệm các hệ thống bạn không sở hữu. Địa chỉ báo cáo là lời mời gửi thông tin, không phải sự cho phép dò xét các máy chủ công cộng không liên quan.

Theo dõi một bản sửa từ đầu đến cuối

Chọn một thông báo trong quá khứ và lần theo: nó có nêu các phiên bản bị ảnh hưởng và bản phát hành sửa chúng, và người dùng có thực sự cài được bản phát hành đó không?

Dấu vết đó là khác biệt giữa một sự xác nhận và một lần sửa chữa. Một phản hồi lịch sự mà không bao giờ tạo ra bản phát hành là kết quả của quan hệ công chúng. Một thông báo ngắn gọn kèm số phiên bản và liên kết tải xuống là quy trình đang hoạt động. Một thông báo tốt trả lời nhanh bốn điều: cái gì bị ảnh hưởng, tác động là gì, phiên bản nào sửa và lấy ở đâu.

Lịch sử phát hành bổ sung phần còn lại. Các bản phát hành đều đặn với ghi chú rõ ràng cho thấy một dự án có thể đưa ra bản sửa, và điều đó quan trọng hơn một chính sách hoa mỹ.

Người bảo trì máy khách hay người vận hành dịch vụ

Với VPN, những người viết máy khách và những người vận hành cổng kết nối thường là các tổ chức khác nhau. Một vấn đề trong mã máy khách và một lỗi khi triển khai máy chủ cần những người nhận khác nhau.

Hãy quyết định phát hiện của bạn liên quan tới bên nào trước khi gửi, vì chuyển nó tới sai bên thường kết thúc bằng im lặng thay vì bị trả lại.

Sự vắng mặt chứng minh điều gì, và không chứng minh điều gì

Một danh sách thông báo trống không chứng minh rằng sản phẩm không có lỗi. Nó có thể nghĩa là dự án non trẻ, bề mặt nhỏ, hoặc không ai nhìn vào.

Tương tự, một trang chính sách vắng mặt không phải bằng chứng của ý đồ xấu. Đó là bằng chứng rằng bạn không thể xác minh quy trình, và đó là kết luận trung thực cần ghi lại.

Cần ghi lại điều gì

Ghi lại bốn sự thật: một đầu mối bạn có thể xác minh, một phạm vi bao gồm phiên bản của bạn, những thông báo nêu rõ bản phát hành đã sửa, và lịch sử phát hành cho thấy các bản sửa được đưa ra.

Sau đó ghi lại điều còn chưa biết. Một đánh giá nói như vậy hữu ích hơn một đánh giá biến chính sách thiếu vắng thành tuyên bố về bảo mật.