Как выяснить что программное обеспечение достойно рынка продаж

[Fasawe]

Человек способный найти уязвимость как правило представляет как и почему она есть и имеет представление о способе устранения. Если это тупо поправить две строчки кода то и срок исправления несколько дней. Если же вендор просит на это 4 месяца, значит надо их подстегнуть публикацией.

Если бы всё было так, то следующим Вашим шагом было бы:

"Заплатите мне, а я покажу Вам на уязвимость..."

Как Вы думаете, понравилось бы это вендору? ))

 

Я за ограничение обнародования "дыр" в СМИ на правовом уровне до истечения определенного срока,

когда это станет не актуальным. Именно благодаря СМИ мир и хакеры узнают про обнаруженные уязвимости.

Изменено 14 июля, 2010 пользователем Fasawe

[Kapral]

Если это тупо поправить две строчки кода то и срок исправления несколько дней.

Пользователь может видеть эти строчки? и оценить сколько времени надо?

Пусть тогда устраивается на работу - есть подозрение что примут его с радостью

 

 

Если же вендор просит на это 4 месяца, значит надо их подстегнуть публикацией.

Ясно.... не сошлись в сроках....

А если для исправления надо переделать всю инфраструктуру, весь софт и все билды.?

 

Если он не может отказаться от устаревшего и неподдерживаемого софта, то вся ответственность за уязвимости на нем.

Это была крайняя ситуация... А если для исправления в масштабах .... - требуется время?

[Nesser]

Ясно.... не сошлись в сроках....

А если для исправления надо переделать всю инфраструктуру, весь софт и все билды.?

Если обнаруживший адекватен, как и представители вендора, то они всегда найдут общий язык. Если нет, то бесполезно разговаривать. Нашедший все равно опубликует.

 

И все же не сторонник я полного сокрытия, не сторонник.

[Kapral]

Причем тут адекватен или нет

Достаточно что нашедший думает что для решения проблемы надо меньше времени чем реально нужно

[Nesser]

Причем тут адекватен или нет

Достаточно что нашедший думает что для решения проблемы надо меньше времени чем реально нужно

Чтобы думать, надо знать ответ производителя.

Но вопрос не в том, что тот кто захочет тот выложит. А в том чтоб не делать больших тайн о дырах в софте. Секретить все по возможности не менее плохо, чем не секретить вообще.

[Xenon]

Если бы всё было так, то следующим Вашим шагом было бы:

"Заплатите мне, а я покажу Вам на уязвимость..."

Как Вы думаете, понравилось бы это вендору? ))

Ну не до такой степени же, в пределах разумного.

Я предполагаю, что "находчивому" юзеру от вендора по-любому должны быть какие-то бонусы! За сотрудничество!

Тогда и смысла не будет "находчивому" трубить на весь мир