Acerca de la creación de informes privados de una vulnerabilidad de seguridad
A menudo, los investigadores de seguridad se sienten responsables de alertar a los usuarios de una vulnerabilidad que podría aprovecharse. Si no hay instrucciones claras sobre cómo ponerse en contacto con los mantenedores del repositorio que contienen la vulnerabilidad, es posible que los investigadores de seguridad no tengan otra opción, sino publicar sobre la vulnerabilidad en las redes sociales, enviar mensajes directos al mantenedor o incluso crear incidencias públicas. Esta situación puede dar lugar a una divulgación pública de los detalles de la vulnerabilidad.
Los informes de vulnerabilidades privados facilitan a los investigadores de seguridad notificar las vulnerabilidades directamente mediante un formulario sencillo.
Cuando un investigador de seguridad notifica una vulnerabilidad de forma privada, se te notifica y puedes optar por aceptarla, formular más preguntas o rechazarla. Si aceptas el informe, estás a punto para colaborar en una corrección de la vulnerabilidad en privado con el investigador de seguridad.
Para los mantenedores, las ventajas de usar informes de vulnerabilidades privados son: * Menos riesgo de ponerse en contacto públicamente o a través de medios no deseados.
- Recibir informes en la misma plataforma en la que se resuelven por motivos de simplicidad
- El investigador de seguridad crea o al menos inicia el informe de asesoramiento en nombre de los mantenedores.
- Los mantenedores reciben informes en la misma plataforma que el que se usa para analizar y resolver los avisos.
- Es menos probable que la vulnerabilidad esté en el ojo público.
- La oportunidad de analizar los detalles de vulnerabilidad de forma privada con investigadores de seguridad y colaborar en la revisión.
Las instrucciones de este artículo hacen referencia a la habilitación a nivel de repositorio. Para más información sobre la habilitación de la característica a nivel de la organización, consulta "Configurar los informes de vulnerabilidades privados para una organización".
Habilitación o deshabilitación de vulnerabilidades privadas para un repositorio
-
En GitHub, navegue hasta la página principal del repositorio.
-
En el nombre del repositorio, haz clic en Configuración. Si no puedes ver la pestaña "Configuración", selecciona el menú desplegable y, a continuación, haz clic en Configuración.
-
En la sección "Seguridad" de la barra lateral, haga clic en Análisis y seguridad del código.
-
En "Seguridad y análisis de código", a la derecha de "Informes de vulnerabilidades privados", haga clic en Habilitar o Deshabilitar para habilitar o deshabilitar la característica, respectivamente.
Cuando se habilitan los informes de vulnerabilidad privados para un repositorio, los investigadores de seguridad verán un nuevo botón en la página Avisos del repositorio. El investigador de seguridad puede hacer clic en este botón para notificar de forma privada una vulnerabilidad de seguridad al mantenedor del repositorio.
Los investigadores de seguridad también pueden usar la API REST para notificar de forma privada las vulnerabilidades de seguridad. Para obtener más información, consulta «Generar de forma privada un informe de vulnerabilidad de seguridad».
Configuración de notificaciones para informes de vulnerabilidades privados
Cuando se notifica de forma privada una nueva vulnerabilidad en un repositorio donde está habilitada la notificación privada de vulnerabilidades, GitHub informa a los mantenedores de repositorios y administradores de seguridad si:
- Están inspeccionando toda la actividad del repositorio.
- Tienen notificaciones habilitadas para el repositorio.
Las notificaciones dependen de las preferencias de notificación del usuario. Recibirás una notificación por correo electrónico si:
- Estás viendo el repositorio.
- Ha habilitado las notificaciones para "Toda la actividad".
- En la configuración de notificaciones, en "Suscripciones" y en "Ver", has seleccionado recibir notificaciones por correo electrónico.
-
En GitHub, navegue hasta la página principal del repositorio.
-
Para empezar a ver el repositorio, selecciona Ver.
-
En el menú desplegable, haz clic en Toda la actividad.
-
Ve a la configuración de notificación de tu cuenta personal. Está disponible en https://github.com/settings/notifications.
-
En la página de configuración de notificaciones, en "Suscripciones" y, luego, en "Ver", selecciona el menú desplegable Notificarme.
-
Selecciona "Correo electrónico" como opción de notificación y, a continuación, haz clic en Guardar.
Para obtener más información sobre la configuración de preferencias de notificación, consulta "Administración de la configuración de seguridad y análisis para el repositorio" y "Configurar los ajustes de observación para un repositorio individual".