Sie sind ein Sicherheitsforscher, Sie haben eine kritische Schwachstelle innerhalb einer kleinen Bank-Android-Anwendung von Tausenden von Menschen täglich verwendet entdeckt. Ihr Nachweis des Konzeptcodes ermöglicht es Ihnen, jemanden innerhalb der Anwendung zu imitieren (einschließlich Admins), haben Sie im Grunde Zugang zu allem. Wie berichten Sie Ihre Ergebnisse in einer Weise, dass das Unternehmen nicht legal Ihren Arsch, falls sie sich durch Ihre Entdeckung bedroht fühlen ?
user
Ich nehme an, dass die Art und Weise, wie die Verwundbarkeit entdeckt wurde, legal ist; Idealerweise sollte die Sicherheitsforschung auch mit der Zustimmung der Banken-App-Entwickler getan werden, um mögliche Probleme zu vermeiden. Das erste, was in dem Szenario getan werden sollte, dass Sie beschrieben ist, verantwortungsvoll und privat die Verwundbarkeit gegenüber den Entwicklern der Android-Banking-Anwendung offenlegen. Idealerweise wird das Entwicklungsteam Ihnen für die Benachrichtigung danken und dann fortfahren, um die Verwundbarkeit so schnell wie möglich zu beheben. Sobald die Verwundbarkeit behoben wurde, können Sie dann wählen, um Ihre Ergebnisse zu veröffentlichen (aber nicht dies ist eine häufige Anforderung für den Empfang eines Bug Kopfgeldes). Stellen Sie sicher, ob die Organisation, die Banking-App mit etablierten Regeln für die Meldung von Schwachstellen verbunden ist. Leider werden einige Organisationen ihr Bild mehr wert als ihre Sicherheit und reagieren mit Feindseligkeit Ihnen, wenn Sie sie über eine Verwundbarkeit informieren. Sie können auch nicht auf Ihren Bericht reagieren und die Verwundbarkeit unfixed verlassen. In solchen Fällen können Sie wählen, um Ihre Ergebnisse unabhängig zu veröffentlichen, aber die Organisation kann dann verfahren, die von Ihnen betroffen sind, aber abhängig von den Gesetzen, die Sie sind, die Sie sind, die Sie sind, die Sie sind, um eine unzuverwundbar zu sein.
assistant