วิธีจัดการช่องโหว่ที่เราพบ

ใครเห็นรายงานได้บ้าง

รายงานการสแกนเข้าถึงได้เฉพาะผ่านลิงก์ส่วนตัวซึ่งมีตัวระบุแบบสุ่ม รายงานจะไม่แสดงอยู่ในรายการใด ๆ ถูกยกเว้นจากเครื่องมือค้นหา และไม่แชร์กับบุคคลภายนอก ยกเว้นผู้ให้บริการโมเดล AI ที่ใช้ประมวลผลโค้ด

ทุกคนสามารถเริ่มสแกนคลังโค้ดสาธารณะได้ แม้จะไม่ได้เป็นผู้ดูแลคลังนั้นก็ตาม ด้วยเหตุนี้ รายงานจึงออกแบบมาเพื่อช่วยฝ่ายป้องกันเป็นอันดับแรก โดยอธิบายข้อบกพร่อง สาเหตุรากฐาน และวิธีแก้ไข ขณะที่ชุดทดสอบกระตุ้นข้อบกพร่องจะถูกซ่อนไว้จนกว่าจะมีผู้พิสูจน์สิทธิ์เขียนโค้ดด้วยการคอมมิตไฟล์โทเค็นลงในคลังโค้ด

โครงการที่ลงทะเบียน

รายงานของโครงการที่ลงทะเบียนจะส่งทางอีเมลไปยังผู้ติดต่อหลักที่ยืนยันแล้ว และที่อยู่อีเมล CC ได้สูงสุดห้ารายการ ต้องยืนยันอีเมลและพิสูจน์สิทธิ์เขียนโค้ดก่อนส่งรายงานทุกครั้ง

ไม่มีเส้นตาย

โมเดล AI สร้างผลการตรวจพบโดยไม่มีมนุษย์ตรวจสอบ เราไม่คิดว่าการกำหนดเวลาสำหรับการเปิดเผยข้อมูลของผลการตรวจพบที่ยังไม่มีใครยืนยันเป็นเรื่องที่เป็นธรรม จึงไม่กำหนดเส้นตาย การตัดสินใจว่าจะจัดการและเปิดเผยข้อมูลเมื่อใดและอย่างไรเป็นของโครงการทั้งหมด

เราไม่เผยแพร่

เราไม่เผยแพร่ผลการตรวจพบ ไม่เขียนประกาศคำแนะนำด้านความปลอดภัย ไม่เปิดประเด็นสาธารณะ และไม่ขอ CVE ในนามของโครงการ หากต้องการขอ CVE สำหรับสิ่งที่เราพบ คุณสามารถดำเนินการได้ โดยจะระบุ ID ของผลการตรวจพบเป็นเครดิตหรือไม่ก็ได้

กฎการรายงานที่ใช้ AI ช่วย

รายงานของเราปฏิบัติตามแนวทางที่โครงการขนาดใหญ่เผยแพร่ไว้สำหรับรายงานที่ใช้ AI ช่วย รวมถึงแนวทางของเคอร์เนล Linux ได้แก่ เริ่มด้วยสรุป ระบุผลกระทบที่ตรวจสอบยืนยันได้แทนการคาดเดา เสนอแพตช์ที่อาจใช้แก้ไข ระบุคอมมิตที่นำข้อบกพร่องเข้ามาสำหรับแท็ก Fixes: และแชร์ชุดทดสอบกระตุ้นข้อบกพร่องให้เฉพาะผู้ดูแลโครงการ หากส่งต่อผลการตรวจพบให้โครงการ โปรดตรวจสอบยืนยันด้วยตนเองก่อน

การเก็บรักษาข้อมูล

เก็บรายงานการสแกนไว้ 90 วัน ส่วนรายงานของโครงการที่ลงทะเบียนจะเก็บไว้ตราบเท่าที่โครงการยังลงทะเบียนอยู่ ผู้ดูแลโครงการสามารถขอให้เราลบรายงานใดก็ได้ที่ hello@ossscanner.org

ช่องโหว่ใน ossscanner.org

หากพบปัญหาด้านความปลอดภัยในบริการนี้ โปรดส่งอีเมลไปที่ hello@ossscanner.org เราจะตอบกลับภายในไม่กี่วัน และให้เครดิตแก่คุณหากต้องการ