Google 揭晓开源项目的漏洞披露指南

该指南主要包括 3 个部分：

• 设置漏洞管理的“基础结构”， 保管有关漏洞披露的背景材料、CVD 流程的步骤、对流程决策点的考虑以及常见情况的故障排除
• 漏洞响应过程，包括有关项目何时出现问题的运行手册
• 模板，从 SECURITY.MD 到公开披露大纲，用户处理问题时所需要的所有沟通方式

文中指出，并非项目尚未收到漏洞报告就不需要披露政策，或者只有成为“安全人员”才能实施漏洞披露政策。成功的协作漏洞披露通常取决于良好的流程管理和清晰周到的沟通。用户不必是操作系统功能方面的专家，就可以了解报告者如何使用漏洞披露政策。预定策略、完善模板和良好的运行手册可以帮助发现、修补和披露大多数类型的漏洞。

最后，Google 表示，在当今行业中，由于对供应链的依赖性，即使仅在一个开源项目中提高安全性也会从整体上产生数倍于此的效果。漏洞披露是总体安全状况的关键方面，其希望开源项目将遵循该指南，以共同提高开源安全性。

（编辑：常州站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!