Det ville være et spørgsmål om mening om, hvordan du skal gå videre. Vi har allerede et spørgsmål, der forklarer forskellige etiske måder at rapportere en sårbarhed på.

Først og fremmest, for noget så stort vil jeg personligt anbefale, at du forbliver anonym i starten, mens du forlader en måde at senere bevise, at det faktisk var dig, der opdagede sårbarheden. Opret en helt ny PGP-nøgle (ikke bundet til din identitet), underskriv dine meddelelser med den, og offentliggør dem anonymt (f.eks. Via Tor). Hvis du senere føler dig sikker på, at alt er i orden, og der ikke er hundreder af blodtørstige advokater, der kommer efter dig, kan du bruge den nøgle til at underskrive en besked, der siger, at det var dig (med dit fulde navn).

Jeg anbefaler den ansvarlige oplysningsmetode: du kommer i kontakt med udviklerne af nævnte sikkerhedssystem og giver dem lidt tid til at implementere en patch.

Hvis du ikke får noget svar, et dumt svar eller selv horder af vrede advokater, der gøder på dig, skal du bare bruge din anonymitet til at blive offentligt og lade alle vide, hvordan det firma håndterer sikkerhedsmangler.

Jeg er uenig i det faktum, at det at afsløre en fejl, mens det ikke giver et alternativ, er en dårlig idé. Den fejl kan måske allerede være kendt af de onde, og det er bedre, at alle ved om det (og i det mindste kan vide, at det ikke er sikkert) snarere end at lade de onde helt nyde at bruge disse oplysninger. Også selvom der ikke er noget alternativ nu, kan denne opdagelse motivere nogen til rent faktisk at lave et sikkert alternativ.

Endelig, mens jeg ikke ved, hvilken slags "sikkerhedssystem" vi taler om, sikkerhed skal gøres i lag, og ethvert selskab, der er afhængig af dette system, da dets eneste forsvar fortjener at gå ned, ligesom dem, der ikke gider at opdatere, når en løsning bliver tilgængelig.

Du vil gerne kontrollere, at dette er en faktisk sårbarhed, typisk ved at oprette et Proof-of-Concept. Derfra kan du:

• Kontakt sælgeren af ​​softwaren privat, forklare dine fund og de problemer, der er forbundet med den, vedhæfte poC'en, som de kan analysere.
• Frigør sårbarheden for offentligheden i håb om, at den ekstra opmærksomhed vil overtale sælgeren til at frigive en rettelse.
• Vær helt tavs om det og håb, at blackhats ikke finder det.

Den første mulighed er sandsynligvis den bedste. Du behøver ikke at afsløre din personlige identitet for at frigive oplysninger. Jeg har brugt flere håndtag og smid-konti til sådan kommunikation under lignende omstændigheder.

Den anden mulighed er risikabel. Du risikerer offentlig tilbageslag ("Hvorfor giver de en åben sårbarhed for de mennesker, der misbruger det?"), Og du sætter dig selv og sælgeren på et dårligt sted. Mens nogle mennesker bifalder din indsats, vil andre se dette som et problem.

Den tredje mulighed er endnu mere risikabel. Hvis du har mulighed for at oprette en PoC, så gør det også folk med ondsindet hensigt. Den eneste forskel her er din afprøvede og sande Sikkerhed gennem uklarhed aka en virkelig dårlig tid .

Din bedste chance er at starte med den første mulighed, falde tilbage til den anden, hvis du bliver fuldstændig ignoreret. Jeg har set historier om mennesker, der kontakter leverandører i flere måneder, endelig frigiver sårbarheden for offentligheden og derefter ser en programrettelse, der løser problemet. I en ideel verden vil sælgeren tage dette alvorligt og løse problemet, når du først har kontaktet dem. Medmindre de forsømmer problemet eller finder ud af, at det ikke er et spørgsmål, vil de være de bedste til at løse det. Hvis de ikke adresserer det, løber de den reelle risiko for at blive den næste Java eller Flash alias fuldstændig upålidelig for offentligheden.

Det er typisk dårligt for erhvervslivet.

Vil du tage kredit, men du vil ikke blive kendt? Det fungerer bare ikke.
Beslut hvad der er vigtigere: Kredit, eller gør sårbarheden kendt anonym.

Hvis det er vigtigere at gøre det kendt, ser jeg, at du har en ny konto osv., det er godt. (hvis det virkelig er så stort, håber jeg, du har et nyt operativsystem på en ny enhed, ingen browserprofil og Tor også. Hvis ikke, starter det nu for sent.).
Hvis du ikke engang er næste trin sikker på, at hvis det er en vuln, er det bare en start at fortælle os, at situationen her.

Om "ikke at fortælle, fordi det kan udnyttes": Nå, hvis du er bekymret for det, og din identitet, ser jeg ingen måde at fortælle det nogen. I dette tilfælde ... bare glem det?

Blåfisken udeladte at nævne "Ansvarlig afsløring", hvor en betroet tredjepart leverer en spærretjeneste i en begrænset periode, hvilket giver sælgeren mulighed for at rette fejlen, samtidig med at opdageren krediteres. CERT sponsorerer en sådan tilgang.

Men i henhold til det forrige svar har du brug for et bevis på konceptet. Desværre introducerer "sikkerhedsprodukter" ofte sårbarheder, end de fleste professionelle forventer.