보안 취약성 비공개 보고

퍼블릭 리포지토리의 소유자 및 관리자는 해당 리포지토리에서 프라이빗 취약성 보고를 사용하도록 설정할 수 있습니다. 자세한 내용은 "리포지토리에 대한 프라이빗 취약성 보고 구성"을(를) 참조하세요.

Note

퍼블릭 리포지토리 대한 관리자 또는 보안 권한이 있는 경우 취약성 보고서를 제출하지 않아도 됩니다. 대신 초안 보안 공지를 직접 만들 수 있습니다. 자세한 내용은 리포지토리 보안 공지 만들기을(를) 참조하세요.
리포지토리의 취약성을 비공개로 보고하는 기능은 해당 리포지토리의 루트 또는 docs 디렉터리에 SECURITY.md 파일이 있는 것과 관련이 없습니다.
- SECURITY.md 파일에는 리포지토리에 대한 보안 정책이 포함되어 있습니다. 리포지토리 관리자는 이 파일을 추가하고 사용하여 리포지토리에서 보안 취약성을 보고하는 방법에 대한 공개 지침을 제공할 수 있습니다. 자세한 내용은 Adding a security policy to your repository(리포지토리에 보안 정책 추가)을(를) 참조하세요.
- 프라이빗 취약성 보고가 사용하도록 설정된 리포지토리에 대해서만 취약성을 비공개로 보고할 수 있으며 SECURITY.md 파일의 지침을 따르지 않아도 됩니다. 이 보고 프로세스는 완전히 비공개이며 GitHub은(는) 리포지토리 관리자에게 제출에 대해 직접 알릴 수 있습니다.

보안 취약성 비공개 보고 정보

보안 연구원은 종종 악용될 수 있는 취약성에 대해 사용자에게 경고할 책임이 있다고 생각합니다. 취약성이 포함된 리포지토리의 유지 관리자에게 연락하는 방법에 대한 명확한 지침이 없는 경우 보안 연구원은 소셜 미디어에 취약성에 대해 게시하거나, 유지 관리자에게 직접 메시지를 보내거나, 공개 문제를 만들 수밖에 없습니다. 이 경우 취약성에 대한 세부 정보가 공개될 수 있습니다.

비공개 취약성 보고를 사용하면 보안 연구원이 간단한 양식을 사용하여 리포지토리 유지 관리자에게 취약성을 직접 보고할 수 있습니다.

보안 연구원의 경우 프라이빗 취약성 보고를 사용할 경우의 이점은 다음과 같습니다.

실패를 줄이고 유지 관리자에게 연락하는 방법을 알아내는데 소요되는 시간이 단축됩니다.
취약성 세부 정보를 공개하고 논의하는 보다 원활한 프로세스입니다.
취약성 세부 정보를 리포지토리 유지 관리자와 함께 비공개로 논의할 수 있는 기회입니다.

Note

리포지토리에 프라이빗 취약성 보고를 사용하도록 설정하지 않은 경우 리포지토리에 대한 보안 정책의 지침에 따라 보고 프로세스를 시작하거나 유지 관리자에게 기본 설정 보안 연락처를 요청하는 이슈를 만들어야 합니다. 자세한 내용은 "보안 취약성의 조정된 공개 정보" 항목을 참조하세요.