안녕하세요,
저희가 Discourse를 호스팅하는 인스턴스에 대한 보안 보고서를 한 연구자로부터 받았습니다. 내용을 확인해 보았지만, 플랫폼에 대한 이해가 부족하여 일부 세부 사항이 명확하지 않습니다.
보안 가이드라인을 읽어 보았더니 HackerOne을 통해 제출해야 하는 것 같습니다. 문제는 해당 연구자에게 직접 보고하도록 요청할 수도 있고, 제가 직접 제출할 수도 있다는 것입니다(제 지식 부족으로 인해 번역 과정에서 정보가 손실될 수 있습니다).
대신 보고서를 이메일로 전달하는 것이 좋을까요? 그렇게 하면 우선순위가 낮아질 수 있다는 점이 걱정됩니다(가이드라인에 그렇게 언급되어 있습니다).
이러한 질문을 드려 죄송합니다. 다음에 어떻게 해야 할지 알아보고자 합니다. 조언에 감사드립니다. 여러분이 해 주시는 일을 정말 좋아합니다!
감사합니다.
연구원이 먼저 HackerOne에 제출하도록 요청해 보세요. 연구원들은 보통 그렇게 하는 것을 선호합니다.
거의 확실하게 가짜일 겁니다. "보안 스팸"은 큰 문제입니다. 하지만 이런 스팸에 "아, 정말 감사합니다! 이 심각한 문제를 발견해 주셔서 매우 기쁩니다. 정당한 보상을 받으시기 위해 가급적 빨리 Hacker One에 신고해 주세요."라고 답하는 것은 상사에게 직무를 성실히 수행하고 있음을 입증하면서도 스팸 발송자를 잠재우는 효과적인 방법일 수 있습니다.
행운을 빕니다.
네, 그렇게 하겠습니다. 확인해 주셔서 감사합니다.
하하! 나도 그 보고서가 진짜라고 생각해요. 조언을 구하려고 여기까지 온 게 아니었거든요.
어쨌든 그 마음은 이해해요. 저는 우리 플랫폼 전체를 혼자서 운영 관리하는 사람이거든요. 이런 ‘보상금 사냥꾼’들이랑 지내다 보면 짜증이 나기도 해요. 그래도 당신과 같은 답답함을 공유합니다.
감사합니다.
그런 경우라면, 제 답변도 적절합니다.
Discourse에서 버그를 찾을 만큼 똑똑한 사람은, 자신의 Hacker One 페이지에 대해 찾아낼 만큼 똑똑할 것 같기도 합니다.
실제로 보안 문제를 발견했다면, 해결된 후에 그 내용을 꼭 듣고 싶습니다!
해당 보고서를 요청하지 않고 받았다면, 거의 확실히 스팸일 것입니다. 이는 스레드를 읽는 다른 분들을 위해 언급하는 것입니다.
고맙습니다. 스팸에 대한 말씀은 잘 이해하고 있습니다.
이번 경우는 요청되지 않은 것이 아닙니다. 저희 보안 정책 채널을 통해 제출된 보고서를 직접 읽고 검증했습니다. 저희는 범용 스팸을 걸러낼 만큼 충분히 정교한 시스템을 갖추고 있습니다. 해당 보고서는 legitimate한 버그로 보입니다(아직 보안 문제가 아닌지는 조사 중입니다).
여기에 오신 분들이 모든 보고서를 무시하는 것을 원하지 않습니다. 특히 Discourse 내부 구조에 대한 완전한 작동 지식이 없는 경우라면 더욱 그렇습니다.
저는 이전에 스태프가 작성한 답변을 이 문제를 해결하는 올바른 방법으로 표시했습니다. 즉, 모든 보고서는 HackerOne에 제출해야 합니다.
감사합니다!
@raisedadead 님의 경험에 공감합니다.
지난 몇 년간 저희와 일부 고객은 보안 연구자가 심각한 보안 문제를 발견한 후 HackerOne을 통해 보고하기 전에, 해당 고객이나 저희에게 먼저 연락해 온 여러 사례를 겪었습니다.
보안 연구자는 항상 플랫폼 자체에만 초점을 두지는 않습니다. 때로는 특정 회사나 커뮤니티와 관련된 네트워크나 서비스를 살펴볼 수도 있습니다. 이런 경우, 소프트웨어 개발자가 아닌 포럼의 실제 소유자에게 보고하는 것이 자연스러울 수 있습니다.
추가적인 복잡성은, 이러한 보안 문제가 맞춤형 플러그인이나 특정 설정으로 인해 발생했을 수도 있다는 점입니다.