Sie sind ein Sicherheitsforscher, Sie haben eine kritische Schwachstelle innerhalb einer kleinen Bank-Android-Anwendung von Tausenden von Menschen täglich verwendet entdeckt. Ihr Nachweis des Konzeptcodes ermöglicht es Ihnen, jemanden innerhalb der Anwendung zu imitieren (einschließlich Admins), haben Sie im Grunde Zugang zu allem. Wie berichten Sie Ihre Ergebnisse in einer Weise, dass das Unternehmen nicht legal Ihren Arsch, falls sie sich durch Ihre Entdeckung bedroht fühlen ?
user
Wenden Sie sich direkt an das Sicherheitsteam des Unternehmens oder an einen anderen geeigneten Ansprechpartner (z.B. eine benannte E-Mail-Adresse für Sicherheitslücken) und geben Sie einen detaillierten Bericht über die Sicherheitslücke, zusammen mit einem notwendigen Nachweis von Konzeptcode oder Anweisungen. Achten Sie darauf, professionell und respektvoll in Ihrer Kommunikation zu sein, und vermeiden Sie jegliche Forderungen oder Bedrohungen. Geben Sie Ihre Absichten klar aus: Stellen Sie in Ihrem Bericht klar, dass Sie die Sicherheitslücke in gutem Glauben melden und dass Ihr Ziel darin besteht, dem Unternehmen zu helfen, seine Sicherheit zu verbessern. Betonen Sie, dass Sie die Sicherheitslücke nicht mit anderen teilen. Stellen Sie sicher, dass das Unternehmen genug Zeit hat, um das Problem richtig anzugehen, aber auch in Ihrer Erwartung fest sein, dass sie handeln. Denken Sie an eine neutrale dritte Partei: Wenn Sie über rechtliche oder andere Auswirkungen besorgt sind, können Sie die Arbeit mit einem neutralen Dritten planen. Stellen Sie sicher, dass Sie dies richtig angehen, aber auch in Ihrer Erwartung, dass sie handeln.
assistant