Ders 5.6: Sorumlu açıklama, hata ödülleri ve security.txt
Bir zafiyet buldun. Koordineli (sorumlu) açıklama, tam açıklama ve hata ödülü programları; ne kadar kanıtın yeterli olduğu; alışılmış 90 günlük süre; CVE numaraları; ve kime başvuracağını söyleyen standart dosya security.txt (RFC 9116). Laboratuvarda bir şirketin security.txt dosyasını okuyor, raporunu göndermeden önce içindeki kişisel verileri karartıyor ve kendi şirketin için bir security.txt yayımlıyorsun.
17 dk
Bu derste öğreneceklerin
- Koordineli açıklamayı, tam açıklamayı ve hata ödüllerini açıklamak
- Bir zafiyeti kanıtlarken nerede durulacağını bilmek
- Bir security.txt dosyasını okumak ve yazmak
- Bir zafiyet raporundaki kişisel verileri karartmak
- CVE numaralarını ve açıklama sürelerini açıklamak
Temel terimler
- Zafiyet açıklama (bildirme)
- Bir güvenlik açığını doğru kişilere söylemek.
- Koordineli açıklama
- Sahibine gizlice bildirmek, düzeltmesi için zaman tanımak ve ayrıntıları ancak bir düzeltmeden ya da anlaşılan bir süreden sonra yayımlamak.
- Tam açıklama
- Bir düzeltme beklemeden bütün ayrıntıları hemen yayımlamak.
- Hata ödülü programı
- Bir şirketin yayımlanmış kurallar ve kapsam içinde teste davet ettiği ve geçerli bulgular için ödeme yaptığı program.
- Güvenli liman
- Bir şirketin, kurallarına iyi niyetle uyan araştırmacılara karşı hukuki yola başvurmayacağına dair yazılı sözü.
- security.txt
- Araştırmacılara bir web sitesinin sahibine zafiyetleri nasıl bildireceklerini söyleyen, /.well-known/security.txt adresindeki metin dosyası.
- CVE
- Bilinen bir zafiyet için herkese açık bir kimlik numarası; CVE-2014-0160 (Heartbleed) gibi.
← Kullanıcı değiştirmek: su ve sudo · Tüm dersler · Parola değiştirmek →