Почему не через месяц и не через год?

Question

QA — русскоговорящее сообщество

Shoo

Почему не через месяц и не через год?

#programming #qa #russian #software

0

25.01.2021

2 ответов

17 просмотров

Shoo Автор вопроса

Keane
Это некоторые недокументированные принципы работы ...

Не, я не к тому, что надо публиковать сразу. Я к тому, что это всегда зависит от очень большого количества факторов. И это всегда трейдофф между «слить слишком рано, когда посоны физически не могут это поправить» vs «слить слишком поздно, когда это эксплойтят уже все кому не лень, а посоны и не торопятся это исправлять». Я бы сказал, что ждать три месяца перед публикацией 0day уязвимости (особенно когда мы говорим про веб, где нет цикла дистрибьюции длиной в год) - такое себе решение. Но это, конечно, безусловно зависит от целей, которые преследует публикация и человек, нашедший уязвимость.

0

25.01.2021

Keane · Accepted Answer

Это некоторые недокументированные принципы работы с найденными уязвимостями. Принято давать 3 месяца на публикацию уязвимости, так как у некоторых компаний выкатка даже патча на безопасность занимает более 2-х недель. И не факт, что можно найти простое решение для закрытия этой уязвимости. В некоторых случаях публикуют и через пол года и более. А так, можно пойти и накатать стать прямо в день находки. Хорошо ли это? Нет. P.S. @jFagor плюсую. Всё правильно написано.

207 похожих чатов

Почему не через месяц и не через год?

2 ответов

Похожие вопросы