影響を受けたベンダーが対応しない場合はどうしますか？

ベンダーがその問題を認めたくないと考えるか、バグバウンティープログラムを持っていないことも考えられます。

問題の修正のために、ベンダーに与えられる時間はどれくらいでしょうか？

セキュリティの問題には修正が容易でないものもあり、ベンダーはしばしば問題の修正よりも新機能を優先したいと考えます。

研究者は問題を一般に開示しているとすれば、それはいつでしょうか？

ホワイトハットはっかーはみな、自分が発見した問題が既知のもので、悪意のある人物が悪用しているのではないかと心配しています。ベンダーがまだ修正版を公開していない間、一般ユーザーはそれについて何も知らず、自らを守るための知識の武装がない状態です。研究者がベンダーに問題を修正するように圧力を加えるには、一般への開示が唯一の武器です。

深刻度の解釈

セキュリティの脆弱性は、通常低から重大までの範囲で深刻度が表されますが、クラーケンセキュリティラボやその他の研究者が開示する脆弱性がすべて「重大」なわけではありません。 

それでも、こうした不具合を開示するのが重要であるとクラーケンは考えています。

片手で収まる程度の深刻度低、中、および高の脆弱性でも、攻撃側が連係した方法で利用すれば、目標のデバイスに大きな影響を及ぼす結果になることもあります。

複合した利点

こうした発見を公開することにより、研究をさらに促進することができます。 

セキュリティ研究者が、修正すべきだが全面的なセキュリティ侵害を許すほどのものではない問題や、ベンダーが直ちに修正する価値はないと見なしている研究を公開するために、他の研究者の仕事に頼ることはよくあります。 

このことからすれば、ある問題について深刻度が「重大」ではないという判断に基づいて何も言わずにいるのは、セキュリティ研究者の責任ではないでしょう。 

クラーケンでは、お客様が問題の深刻度に応じて情報を得た上で決断を下せるように、一般ユーザーにとって可能な限り理解しやすく、透明度の高い内容を開示するよう努めています。