भेद्यता प्रकटीकरण नीति

हमारा मानना है कि भेद्यता प्रकटीकरण दोतरफा प्रक्रिया है। विक्रेताओं के साथ-साथ शोधकर्ताओं को भी समन्वित भेद्यता प्रकटीकरण में भाग लेना चाहिए। जब Enable Security अपने स्वयं के शोध के माध्यम से भेद्यताओं की खोज करता है, तो वह विक्रेताओं को इन भेद्यताओं की सूचना देगा, जिनका विवरण पहले संपर्क के 90 दिनों के बाद, या विक्रेता द्वारा फिक्स जारी करने पर उससे पहले, रक्षात्मक समुदाय के साथ सार्वजनिक रूप से साझा किया जाएगा।

• Enable Security विक्रेता के साथ गोपनीय संचार स्थापित करने के लिए उचित प्रयास करेगा।
• विक्रेता की सुरक्षा टीम या नामित संपर्क से संपर्क हो जाने पर, Enable Security भेद्यता के पूर्ण विवरण, इस नीति के लिंक और वर्तमान नियोजित प्रकटीकरण तिथि के साथ संवाद करेगा।
• Enable Security खोजी गई भेद्यता के महत्व को समझने में विक्रेता को उचित सहायता प्रदान करेगा।
• यदि विक्रेता 7 दिनों के भीतर हमारे प्रारंभिक संपर्क को स्वीकार नहीं करता है, तो विक्रेता के संगठन के भीतर सही संपर्क स्थापित करने के लिए विभिन्न चैनलों के माध्यम से आगे के प्रयास किए जाएंगे।
• यदि प्रारंभिक संपर्क के 30 दिनों के बाद भी विक्रेता से कोई स्वीकृति नहीं मिलती है, तो अंतिम संपर्क किया जाएगा, जिसमें 30 दिनों के भीतर पूर्ण प्रकटीकरण की सूचना दी जाएगी।
• अगले 30 दिनों के बाद, प्रारंभिक प्रकटीकरण से 90 दिन पूरे होने पर, Enable Security भेद्यता को प्रकाशित करेगा।

90 दिन की समय सीमा निम्नलिखित तरीकों से भिन्न हो सकती है:

• यदि कोई समय सीमा सप्ताहांत या अमेरिकी/जर्मन सार्वजनिक अवकाश पर समाप्त होने वाली है, तो समय सीमा को अगले सामान्य कार्य दिवस पर स्थानांतरित कर दिया जाएगा।
• 90 दिन की समय सीमा समाप्त होने से पहले, यदि कोई विक्रेता हमें बताता है कि पैच किसी विशिष्ट दिन जारी होने वाला है जो समय सीमा के बाद 14 दिनों के भीतर आएगा, तो हम पैच उपलब्ध होने तक सार्वजनिक प्रकटीकरण में देरी करेंगे। यदि पैच 14 दिन की अनुग्रह अवधि से परे फिर से विलंबित होता है, तो हम भेद्यता प्रकाशित करने का अधिकार सुरक्षित रखते हैं।
• जब हम सक्रिय शोषण के तहत सॉफ़्टवेयर में पहले से अज्ञात और अनपैच्ड भेद्यता देखते हैं ("0day"), तो हमारा मानना है कि 7 दिनों के भीतर अधिक तत्काल कार्रवाई उचित है। इस विशेष पदनाम का कारण यह है कि सक्रिय रूप से शोषित भेद्यता जितने अधिक दिनों तक जनता के सामने अप्रकट और अनपैच्ड रहती है, उतने ही अधिक डिवाइस या खातों से समझौता किया जाएगा। सात दिन एक आक्रामक समय-सीमा है और कुछ विक्रेताओं के लिए अपने उत्पादों को अपडेट करने के लिए बहुत कम हो सकती है, लेकिन संभावित शमन उपायों के बारे में सलाह प्रकाशित करने के लिए यह पर्याप्त समय होना चाहिए, जैसे किसी सेवा को अस्थायी रूप से अक्षम करना, पहुंच प्रतिबंधित करना, या अधिक जानकारी के लिए विक्रेता से संपर्क करना। परिणामस्वरूप, बिना पैच या परामर्श के 7 दिन बीत जाने के बाद, हम शोधकर्ताओं को विवरण उपलब्ध कराने में समर्थन करेंगे ताकि उपयोगकर्ता स्वयं को सुरक्षित रखने के लिए कदम उठा सकें।