Como un programador concienzudo, pongo la seguridad como uno de los requisitos básicos de cada producto que desarrollo. Para evitar la introducción de fallas, promuevo una cultura de concientización (p. Ej., Me aseguro de que los miembros del equipo con los que trabajo conozcan los tipos de vulnerabilidad comunes), me actualizo leyendo regularmente sitios especializados (p. Ej. The H Security o blog de Dan Kaminsky ), tenga cuidado con los errores comunes (y discútalos si es necesario) mientras realiza revisiones de código.
Sin embargo, todos sabemos que, según la Ley de Murphy, aparecerá un error de seguridad (tarde o temprano). Mis (preguntas estrechamente relacionadas) son:
- ¿Cómo puedo promover la divulgación responsable de las vulnerabilidades de seguridad encontradas por los investigadores ? Es decir, ¿cómo puedo animarlos a colaborar conjuntamente conmigo, no divulgar detalles hasta que se prepare una solución, y al mismo tiempo garantizar que se sientan respetados por su arduo trabajo y obtengan el crédito que merecen?
- En caso de que alguien tome la ruta de divulgación completa, ¿cómo puedo reaccionar? ( recibir una alerta de la vulnerabilidad tan pronto como sea posible y luego tomar las medidas de mitigación adecuadas ) de la manera más oportuna y efectiva?
En este momento, he pensado en:
- asegurándose de que un contacto de seguridad esté claramente listado en mi sitio web
- utilizando Detalles de CVE para obtener un feed para mis productos si se publican allí
- también siguiendo las listas de correo de seguridad ( vea esta respuesta de Seguridad de TI )
- garantizando que los parches se preparen rápidamente
- se está comunicando constantemente con el (los) informador (es) de errores, actualizándolos a medida que avanza el progreso
- acreditar públicamente a la investigadora (s) por su descubrimiento
- permitir la divulgación completa algún tiempo después de la publicación de los parches (para permitir que los clientes afectados los instalen)
(Soy parte de un pequeño equipo en una especie de startup, por lo tanto, mi curso de acción no está limitado por problemas de gestión. Sin embargo, todavía creo que cualquier consejo que proporcione puede aplicarse a otras situaciones también .)