Що робити, якщо постачальник продукту з вразливістю не реагує?

Можливо, постачальник не хоче визнавати проблему або в нього немає програми нагороди за пошук вразливостей (Bug Bounty).

Скільки часу потрібно дати постачальнику на виправлення проблеми?

Деякі проблеми з безпекою нелегко виправити, і замість їх вирішення постачальники часто надають пріоритету новим функціям.

Чи повинен дослідник розкривати інформацію про проблему громадськості, і якщо так, то коли?

Кожен «етичний хакер» турбується, що проблема, яку він знайшов, уже відома зловмисникам і використовується ними. Кожна мить, на яку постачальник затримує випуск виправлень, – це час, коли громадськість перебуває в темряві та не має необхідних знань для захисту. Розкриття інформації – єдиний важіль, який є в дослідників, аби змусити постачальника усунути проблему.

Розуміння ступеня серйозності

Уразливості в системі безпеки зазвичай мають різний ступінь серйозності – від низького до критичного, – але не всі уразливості, що виявляються лабораторією Kraken Security Labs або іншими дослідниками, є критичними. 

Проте ми вважаємо, що ці вразливості вкрай важливо виявляти.

Навіть кілька вразливостей низького, середнього й високого ступенів серйозності можуть бути використані зловмисником у скоординований спосіб, аби завдати значного впливу на пристрій-жертву.

Сукупні переваги

Оприлюднення цих результатів може стимулювати подальшу роботу. 

Дослідники проблем безпеки часто спираються на роботу інших спеціалістів, оприлюднюючи описи проблем, які повинні бути виправлені не зважаючи на відсутність повного компромісу, а також публікують дослідження вразливостей, які постачальник не вважає за потрібне відразу усувати. 

Дослідник у сфері безпеки повівся би безвідповідально, якби промовчав лише тому, що не визнав проблему критичною. 

Ми прагнемо публікувати максимально зрозумілу й прозору для громадськості інформацію, яка дає змогу зробити обґрунтований висновок щодо серйозності проблеми.