Come programmatore coscienzioso, ho posto la sicurezza come uno dei requisiti fondamentali di ogni prodotto che sviluppo. Per prevenire l'introduzione di difetti, promuovo una cultura della consapevolezza (ad esempio, assicurati che i membri del team con cui lavoro conosca i tipi più comuni di vulnerabilità), mantieniti aggiornato leggendo regolarmente siti specializzati (ad esempio The H Security o il blog di Dan Kaminsky ), fai attenzione agli errori più comuni (e discuterli se necessario) durante l'esecuzione delle revisioni del codice.
Tuttavia, sappiamo tutti che, secondo la legge di Murphy, comparirà un bug di sicurezza (prima o poi). Le mie (domande strettamente correlate) sono:
- Come posso promuovere la divulgazione responsabile delle vulnerabilità di sicurezza rilevate dai ricercatori ? Cioè, come posso incoraggiarli a collaborare insieme a me, a non rilasciare i dettagli fino a quando non viene preparata una correzione, assicurando allo stesso tempo che si sentano rispettati per il loro duro lavoro e ottengano il merito che meritano?
- Nel caso in cui qualcuno utilizzi l'intero percorso di divulgazione, come posso reagire ( essere avvisato della vulnerabilità il prima possibile e quindi adottare misure di mitigazione appropriate ) nel modo più tempestivo ed efficace?
Al momento, ho pensato a:
- assicurandosi che un contatto di sicurezza sia chiaramente elencato sul mio sito web
- utilizzando dettagli CVE per ottenere un feed per i miei prodotti se vengono pubblicati lì
- anche nelle mailing list di sicurezza ( vedi questa risposta alla sicurezza IT )
- assicurando che le patch vengano preparate rapidamente
- che comunica costantemente con i reporter di bug, aggiornandoli man mano che si progredisce
- accreditare pubblicamente il / i ricercatore / i per la sua scoperta
- consentendo la divulgazione completa qualche tempo dopo la pubblicazione delle patch (per consentire ai client interessati di installarle)
(Io faccio parte di una piccola squadra in una sorta di startup, quindi la mia linea d'azione non è limitata da questioni manageriali.Tuttavia, continuo a pensare che qualsiasi consiglio che fornirai possa essere applicato anche ad altre situazioni .)