Sống Tốt HơnBáo lỗ hổng đúng kênh: trước khi vá xong không công bố chi tiết, không phát hành công cụ khai thác
Nói dễ hiểu
Ở Trung Quốc, cá nhân cũng chịu quy định về quản lý lỗ hổng: không công bố trước khi hãng có bản vá, không công bố chi tiết lỗ hổng của hệ thống đang vận hành, không phát hành công cụ chuyên dùng để khai thác, khi công bố phải kèm cách khắc phục, không thổi phồng rủi ro. Vi phạm có thể bị phạt tiền. Ngoài chuyện luật, đó cũng là cách công bố có trách nhiệm được giới bảo mật thừa nhận rộng rãi.
Bỏ ra
Không tốn tiền. Báo lỗ hổng cho nhà cung cấp sản phẩm hoặc nền tảng tiếp nhận chính thức. Trước khi hãng vá xong, không đăng chi tiết, không đăng mã khai thác.
Lưu ý
Có được phép test hay không và xử lý lỗ hổng sau khi tìm ra là hai chuyện riêng. Lỗ hổng tìm ra hợp pháp vẫn có thể bị phạt vì công bố sai cách; lỗ hổng tìm ra khi không được phép thì sai cả hai đầu. Hãng được báo mà không chịu vá thì giữ lại toàn bộ lịch sử trao đổi.
Ở Việt Nam
Ở Việt Nam, kiểm tra quy định hiện hành về báo cáo, công bố lỗ hổng an toàn thông tin; nếu không chắc, báo cho nhà cung cấp và cơ quan ứng cứu sự cố chính thức.