De ce que je comprends (de mon point de vue de pas expert pour 2 sous), c'est que par définition, le "Responsible Disclosure" est un sous-ensemble du "Full-Disclosure".
Il est dommage que la liste ferme au lieu de rajouter les conditions de "Responsible Disclosure" à la charte, en passant le flambeau si les admins ne veulent plus la gérer.
On peut même imaginer une procédure complète que les contributeurs s'engagent à suivre quand ils s'inscrivent:
-Contacter la «cible» pour les informer du problème
-Attendre un temps donné avant de déclarer qu'il n'y a pas eu de réponse, temps qui doit être mentionné dans la demande de contact
-S'assurer que la cible a eu un temps raisonnable et négocié pour boucher la faille
-Obtenir l'accord de la cible de diffuser les infos (ok, c'est bien plus sportif!). Dans le pire des cas, la diffusion se fait sans information permettant d'identifier la-dite cible
Je rate sûrement des choses que des gens habitués à l'exercice verraient. Mais une liste régulée de la sorte n'aurait quasiment aucune surface d'attaque légale au départ, et donc sans doute moins d'ennuis pour ses admins.
Par contre, comme le dit pBpG plus bas, elle fera moins djeunz rebelz qui prennent le contrôle du Mooooooonde.
[^] # Re: Transparence = Sécurité
Posté par Maclag . En réponse à la dépêche Full disclosure, c'est fini. Évalué à 5.
De ce que je comprends (de mon point de vue de pas expert pour 2 sous), c'est que par définition, le "Responsible Disclosure" est un sous-ensemble du "Full-Disclosure".
Il est dommage que la liste ferme au lieu de rajouter les conditions de "Responsible Disclosure" à la charte, en passant le flambeau si les admins ne veulent plus la gérer.
On peut même imaginer une procédure complète que les contributeurs s'engagent à suivre quand ils s'inscrivent:
-Contacter la «cible» pour les informer du problème
-Attendre un temps donné avant de déclarer qu'il n'y a pas eu de réponse, temps qui doit être mentionné dans la demande de contact
-S'assurer que la cible a eu un temps raisonnable et négocié pour boucher la faille
-Obtenir l'accord de la cible de diffuser les infos (ok, c'est bien plus sportif!). Dans le pire des cas, la diffusion se fait sans information permettant d'identifier la-dite cible
Je rate sûrement des choses que des gens habitués à l'exercice verraient. Mais une liste régulée de la sorte n'aurait quasiment aucune surface d'attaque légale au départ, et donc sans doute moins d'ennuis pour ses admins.
Par contre, comme le dit pBpG plus bas, elle fera moins djeunz rebelz qui prennent le contrôle du Mooooooonde.