Security Week 03: принципы ответственного багрепорта

[pyrk2142]

Впрочем, это не значит, что все проблемы решены. Что если баг невозможно закрыть, как, например, уязвимость checkm8 в устройствах Apple? Этично ли раскрывать информацию о том, что патч не работает, а срок в 90 дней уже вышел?

Имхо, сокрытие данных об уязвимостях довольно близко к тому, чтобы считать одних хакеров гениальными, а всех остальных — тупыми. Если кто-то нашёл проблему, то и другой вполне может ее найти (или уже нашёл и продал на чёрном рынке), о ней лучше знать, чтобы иметь возможность минимизировать последствия, чем через два года играть в игру "Оправдайся перед всеми, почему данные массово утекли".

[Mur81]

SHA-1 — алгоритм шифрования?!

[kITerE]

Как бы то ни было, смена подхода с «выпускайте патч как можно быстрее» на «закрывайте уязвимость надежно» — это хорошие новости.

Отличная новость, ведь и у пользователей будет больше времени успеть накатить патч.