Ders 4.61: Koordineli zafiyet açıklaması
Er ya da geç dışarıdan biri sistemlerinde bir zafiyet bulur. Onu sana mı bildireceği yoksa satacak mı olduğu kısmen bildirmeyi ne kadar kolay ve güvenli yaptığına bağlıdır. Koordineli zafiyet açıklaması (CVD) araştırmacılara yayımlanmış bir iletişim noktası (security.txt, RFC 9116), kapsamı ve güvenli liman hükmü olan bir politika ve bir süreç (ISO/IEC 29147 ve 30111) verir: onayla, ön incele, düzelt ve yayımlamada anlaş. Laboratuvarda Northwind'in security.txt'sinin süresinin dolduğunu buluyor, müşteri verisi ifşasına dair gerçekçi bir bildirimi ön incelemeden geçiriyor, dosyayı değiştiriyor ve onay iletisini gönderiyorsun.
15 dk
Bu derste öğreneceklerin
- Koordineli zafiyet açıklamasını açıklamak
- Bir security.txt'yi (RFC 9116) okumak ve düzeltmek
- Bir bildirimi bir açıklama politikasına göre ön incelemeden geçirmek
- Güvenli liman hükmünü açıklamak
- Bir bildireni düzgünce onaylamak
Temel terimler
- Koordineli zafiyet açıklaması (CVD)
- Bildiren ve üretici ayrıntılar yayımlanmadan önce düzeltmede anlaşır.
- security.txt
- Araştırmacılara nasıl bildireceklerini söyleyen /.well-known/security.txt dosyası (RFC 9116).
- Güvenli liman
- Politika içindeki iyi niyetli araştırmalara karşı yasal işlem yapmama sözü.
- Hata ödül programı
- Geçerli bildirimler için ödül ödeyen, genellikle bir platform üzerinden yürütülen program.
- BOLA / IDOR
- Bozuk nesne düzeyi yetkilendirme: API nesneleri sahipliği denetlemeden döndürür.
← Kimlik doğrulama, yetkilendirme, kayıt tutma ve MFA · Tüm dersler · İçeriden gelen risk: hukuka uygun ve orantılı →