MagyarmagyarBiztonság és sebezhetőségek bejelentése
Hogyan védi a gyártó a bővítményt két biztonsági csatornával, mit tehetsz te ügyfélként, és hogyan jelenthet be hibát egy biztonsági kutató.
A bővítmény biztonságát két külső szakmai csatorna felügyeli. Részt vesz a Patchstack kezelt sebezhetőség-bejelentési programjában (mVDP), amelyben etikus hackerekkel dolgozik együtt a biztonsági hibák javításán, és a Wordfence-szel (a legelterjedtebb WordPress-tűzfal készítőivel) is partnerséget kötött, hogy második bejelentési csatornát biztosítson.
Ügyfeleknek
Szekció neve “Ügyfeleknek”- Két szint: a Patchstack folyamatosan átvizsgálja a kódot, és jelzi a lehetséges hibákat. A Wordfence valós idejű tűzfallal és kártevőkereséssel egészíti ki, amely a sebezhetőség nyilvánosságra kerülésének napján szabályokat tud telepíteni.
- A frissítések védenek: mindig a legújabb verziót futtasd. A biztonsági javítások elkészülésük után azonnal megjelennek, gyakran a bejelentés után órákkal.
- Gyanús dolgot látsz? Nyiss támogatási jegyet, és a gyártó azonnal kivizsgálja.
A bővítmény naprakészen tartása és egy minőségi biztonsági bővítmény (például a Wordfence) használata jelentősen csökkenti a kockázatot.
Etikus hackereknek
Szekció neve “Etikus hackereknek”| Patchstack mVDP | Wordfence Bug Bounty | |
|---|---|---|
| Előnyben részesített csatorna | Elsődleges | Alternatív |
| Biztonságos kikötés (safe harbor) | Igen | Igen |
A bejelentés irányelvei:
- Felelősségteljesen járj el: nincs automatizált kihasználás és adatkiszivárogtatás.
- Adj részleteket: világos leírás, a reprodukció lépései és bizonyíték (proof of concept).
- Adj időt: a felelős közzététel szabályai szerint a javításra jellemzően 7-14 nap van, utána összehangolt kiadás következik.
A gyártó minden érvényes bejelentést nyilvánosan elismer a változásnaplóban és a tanácsadói hírcsatornákban.
Készült: