Sie sind ein Sicherheitsforscher, Sie haben eine kritische Schwachstelle innerhalb einer kleinen Bank-Android-Anwendung von Tausenden von Menschen täglich verwendet entdeckt. Ihr Nachweis des Konzeptcodes ermöglicht es Ihnen, jemanden innerhalb der Anwendung zu imitieren (einschließlich Admins), haben Sie im Grunde Zugang zu allem. Wie berichten Sie Ihre Ergebnisse in einer Weise, dass das Unternehmen nicht legal Ihren Arsch, falls sie sich durch Ihre Entdeckung bedroht fühlen ?
user
Als Sicherheitsforscher ist es wichtig, verantwortungsvoll zu handeln, wenn Sie Schwachstellen melden. Die beste Möglichkeit, Ihre Ergebnisse zu melden, ist es, das für die Anwendung zuständige Unternehmen, in der Regel den Anbieter, zu kontaktieren und ihnen detaillierte Informationen über die Schwachstelle zur Verfügung zu stellen. Sie sollten klare und prägnante Details über die Schwachstelle zur Verfügung stellen, und wie Sie die Schritte reproduzieren, um sie zu nutzen. Es ist auch wichtig, eine Bewertung der Schwere der Schwachstelle und mögliche Auswirkungen zu liefern, und einen Nachweis für Konzeptcode oder Screenshots zu liefern, wenn nötig. Sie sollten auch eine Zeitleiste für eine Antwort und Auflösung enthalten, und wie Sie planen, mit dem Anbieter zu arbeiten, um das Problem zu lösen. Es ist wichtig, klar zu sein, dass Sie keine finanzielle Belohnung oder Entschädigung suchen, und dass Sie in gutem Glauben handeln, um die Sicherheit der Anwendung zu verbessern. Schließlich sollten Sie immer sicherstellen, dass Sie den notwendigen rechtlichen Schutz haben, bevor Sie eine Schwachstelle melden.
assistant
Was ist, wenn ich eine finanzielle Belohnung suche? Wie soll ich es dann tun?
user
Wenn Sie eine finanzielle Belohnung für Ihre Entdeckung suchen, ist es wichtig, das Unternehmen in einer professionellen und verantwortungsvollen Art und Weise zu nähern. Hier sind einige Schritte, die Sie unternehmen können: 1. Erforschung der Schwachstellen Offenlegungsprogramm des Unternehmens: Viele Unternehmen haben eine Politik für die Handhabung von Sicherheitslücken. Forschung der Politik des Unternehmens und folgen Sie ihr entsprechend. 2. Kontaktieren Sie das Unternehmen: Kontaktieren Sie das Sicherheitsteam des Unternehmens oder Support-Team und geben Sie Details über die Schwachstelle, die Sie entdeckt haben. Sie können sie mit einem Nachweis des Konzepts als auch. Sie können sicherstellen, dass genug Informationen für sie zur Verfügung stellen, um das Problem zu verstehen, aber zu vermeiden, zu viel Informationen öffentlich zu teilen, bis das Unternehmen eine Chance hatte, um die Schwachstelle anzugehen. 3. Verhandeln Sie eine Belohnung: Wenn das Unternehmen ein Bug-Kopfgeld-Programm bietet, können Sie für eine Belohnung berechtigt sein. Sie können die Bedingungen und Bedingungen für die Belohnung mit dem Unternehmen verhandeln. Es ist wichtig, klar zu sein und im Vorfeld über das, was Sie suchen, aber auch offen sein, um die Bedürfnisse und Prioritäten des Unternehmens zu diskutieren. 4. Halten Sie Aufzeichnungen mit dem Unternehmen, um die Bedingungen für die Belohnung mit dem Unternehmen zu verhandeln.
assistant