Сведения о конфиденциальном сообщении об уязвимости системы безопасности
Исследователи по безопасности часто чувствуют ответственность за оповещение пользователей об уязвимости, которую можно использовать. Если нет четких инструкций по обращению к специалистам по обслуживанию репозитория, содержащего уязвимость, у исследователей по безопасности не может быть другого выбора, кроме как опубликовать об уязвимости в социальных сетях, отправить прямые сообщения в службу поддержки или даже создать общедоступные проблемы. Такая ситуация потенциально может привести к раскрытию сведений об уязвимости.
Отчеты о частных уязвимостях упрощают для исследователей безопасности сообщать об уязвимостях напрямую с помощью простой формы.
Когда исследователь безопасности сообщает об уязвимости в частном порядке, вы получите уведомление и можете принять ее, задать дополнительные вопросы или отклонить ее. Если вы принимаете отчет, вы готовы к совместной работе над исправлением уязвимости в частном порядке с исследователем по безопасности.
Для обслуживающих пользователей преимущества использования частных отчетов об уязвимостях: - Меньше риска быть контактировать публично, или через нежелательные средства.
- Получение отчетов на той же платформе, в которую вы их разрешаете для простоты
- Исследователь безопасности создает или, по крайней мере, инициирует консультативный отчет от имени сотрудников службы поддержки.
- Отчеты, обслуживающие службы, получают на той же платформе, что и для обсуждения и разрешения рекомендаций.
- Уязвимость с меньшей вероятностью будет находиться в глазах общественности.
- Возможность обсудить сведения об уязвимостях в частном порядке с исследователями по безопасности и совместно работать над исправлением.
Инструкции в этой статье относятся к включению на уровне репозитория. Сведения о включении функции на уровне организации см. в разделе Настройка частных отчетов об уязвимостях для организации.
Включение или отключение частных отчетов об уязвимостях для репозитория
-
На GitHub.com перейдите на главную страницу репозитория. 1. Под именем репозитория щелкните Параметры. Если вкладка "Параметры" не отображается, выберите раскрывающееся меню и нажмите кнопку Параметры.
-
В разделе "Безопасность" боковой панели щелкните Безопасность и анализ кода.
-
В разделе "Безопасность и анализ кода" справа от раздела "Частные отчеты об уязвимостях" щелкните Включить или Отключить, чтобы включить или отключить эту функцию соответственно.
Если для репозитория включены частные отчеты об уязвимостях , исследователи по безопасности увидят новую кнопку на странице Рекомендации репозитория. Исследователь безопасности может нажать эту кнопку, чтобы в частном порядке сообщить об уязвимости безопасности в поддержку репозитория.
Исследователи безопасности также могут использовать REST API для частных отчетов об уязвимостях системы безопасности. Дополнительные сведения см. в разделе "Частный отчет об уязвимости системы безопасности" в документации по REST API.