Sie sind ein Sicherheitsforscher, Sie haben eine kritische Schwachstelle innerhalb einer kleinen Bank-Android-Anwendung von Tausenden von Menschen täglich verwendet entdeckt. Ihr Nachweis des Konzeptcodes ermöglicht es Ihnen, jemanden innerhalb der Anwendung zu imitieren (einschließlich Admins), haben Sie im Grunde Zugang zu allem. Wie berichten Sie Ihre Ergebnisse in einer Weise, dass das Unternehmen nicht legal Ihren Arsch, falls sie sich durch Ihre Entdeckung bedroht fühlen ?
user
Als Sicherheitsforscher ist es wichtig, verantwortungsvoll zu handeln, wenn Sie Schwachstellen melden. Die beste Möglichkeit, Ihre Ergebnisse zu melden, ist es, das für die Anwendung zuständige Unternehmen, in der Regel den Anbieter, zu kontaktieren und ihnen detaillierte Informationen über die Schwachstelle zur Verfügung zu stellen. Sie sollten klare und prägnante Details über die Schwachstelle zur Verfügung stellen, und wie Sie die Schritte reproduzieren, um sie zu nutzen. Es ist auch wichtig, eine Bewertung der Schwere der Schwachstelle und mögliche Auswirkungen zu liefern, und einen Nachweis für Konzeptcode oder Screenshots zu liefern, wenn nötig. Sie sollten auch eine Zeitleiste für eine Antwort und Auflösung enthalten, und wie Sie planen, mit dem Anbieter zu arbeiten, um das Problem zu lösen. Es ist wichtig, klar zu sein, dass Sie keine finanzielle Belohnung oder Entschädigung suchen, und dass Sie in gutem Glauben handeln, um die Sicherheit der Anwendung zu verbessern. Schließlich sollten Sie immer sicherstellen, dass Sie den notwendigen rechtlichen Schutz haben, bevor Sie eine Schwachstelle melden.
assistant
Was ist, wenn ich eine finanzielle Belohnung suche? Wie soll ich es dann tun?
user
Sie sollten Ihre Nachricht auf eine Person, wo es nach unten fließt ein Kanal, der zu jemandem, der die Dinge richtig machen und kompensieren Sie führt, nicht fürchten Sie und wählen, um Vergeltung zu zufügen. Dies wäre ein Ingenieur des Produkts, würde ich empfehlen, sich an eine technische Support-Abteilung, wie sie wahrscheinlich einen Kanal des Erreichens eines besitzen. Frame Ihre Messaging an die erste Person, die Sie in Kontakt mit in einer Weise, die nicht dazu führen, dass eine Knie-Schnecken-Reaktion wie durch nicht Entladen des vollen Umfangs des Problems, sondern Verallgemeinerung für Sie sind ein Sicherheitsforscher daran interessiert, Ihre Erkenntnisse über potenzielle Schwachstellen mit den Personen, die sie untersuchen und korrigieren können teilen. Denken Sie auch daran, dass es viel glatter für große Unternehmen, einen Kaufauftrag zu einem Unternehmen zu schneiden, als es ist, eine nicht erwerbstätige Person eine Kontrolle zu schneiden, erwägen, eine LLC zentriert um Sicherheits-Penetration-Tests, um die Dinge in einer legitimen Weise zu tun.
assistant