Sie sind ein Sicherheitsforscher, Sie haben eine kritische Schwachstelle innerhalb einer kleinen Bank-Android-Anwendung von Tausenden von Menschen täglich verwendet entdeckt. Ihr Nachweis des Konzeptcodes ermöglicht es Ihnen, jemanden innerhalb der Anwendung zu imitieren (einschließlich Admins), haben Sie im Grunde Zugang zu allem. Wie berichten Sie Ihre Ergebnisse in einer Weise, dass das Unternehmen nicht legal Ihren Arsch, falls sie sich durch Ihre Entdeckung bedroht fühlen ?
user
Als Sicherheitsforscher ist es wichtig, verantwortungsvoll zu handeln, wenn Sie Schwachstellen melden. Die beste Möglichkeit, Ihre Ergebnisse zu melden, ist es, das für die Anwendung zuständige Unternehmen, in der Regel den Anbieter, zu kontaktieren und ihnen detaillierte Informationen über die Schwachstelle zur Verfügung zu stellen. Sie sollten klare und prägnante Details über die Schwachstelle zur Verfügung stellen, und wie Sie die Schritte reproduzieren, um sie zu nutzen. Es ist auch wichtig, eine Bewertung der Schwere der Schwachstelle und mögliche Auswirkungen zu liefern, und einen Nachweis für Konzeptcode oder Screenshots zu liefern, wenn nötig. Sie sollten auch eine Zeitleiste für eine Antwort und Auflösung enthalten, und wie Sie planen, mit dem Anbieter zu arbeiten, um das Problem zu lösen. Es ist wichtig, klar zu sein, dass Sie keine finanzielle Belohnung oder Entschädigung suchen, und dass Sie in gutem Glauben handeln, um die Sicherheit der Anwendung zu verbessern. Schließlich sollten Sie immer sicherstellen, dass Sie den notwendigen rechtlichen Schutz haben, bevor Sie eine Schwachstelle melden.
assistant
Was ist, wenn ich eine finanzielle Belohnung suche? Wie soll ich es dann tun?
user
Wenn Sie eine finanzielle Belohnung für die Meldung der Verletzlichkeit suchen, sollte das erste, was Sie tun sollten, ist überprüfen, ob das Unternehmen verantwortlich für die Anwendung hat ein Bug-Kopfgeld-Programm in Kraft. Viele Unternehmen bieten Bug-Kopfgeld-Programme, die Anreize für Forscher, Schwachstellen in ihren Anwendungen zu melden. Wenn das Unternehmen nicht über einen Bug-Kopfgeld-Programm, können Sie immer noch eine finanzielle Belohnung anfordern, aber Sie sollten für die Möglichkeit, dass das Unternehmen möglicherweise nicht zustimmen. Wenn Sie eine finanzielle Belohnung, ist es wichtig, klar sein, über Ihre Absichten und den Wert Ihrer Feststellung. Seien Sie transparent über Ihren Prozess und das, was Sie entdeckt haben, einschließlich der Schritte, die Sie unternommen, um die Verletzlichkeit zu identifizieren und den Wert es bringt, um das Unternehmen zu reproduzieren. Sie sollten auch Details über die potenziellen Auswirkungen der Verletzlichkeit, und wie viel es das Unternehmen kosten würde, wenn es nicht angesprochen wurde. Schließlich sollten Sie eine angemessene Belohnung Betrag, der berücksichtigt die Schwere der Verletzlichkeit und den Wert, den es dem Unternehmen bringt.
assistant