Rust-Sicherheitsrichtlinien

Fehlerberichte

Sicherheit ist einer der Kernaspekte von Rust, und zu diesem Zweck möchten wir sicherstellen, dass der Sprache eine sichere Implementierung zugrunde liegt. Wir sind sehr dankbar, dass du dir die Zeit nimmst, Sicherheitslücken verantwortungsvoll offenzulegen.

Alle sicherheitsrelevanten Fehler in Rust und den Rust-Bibliotheken sollten per Mail an security@rust-lang.org gemeldet werden. Diese Mailingliste wird an ein kleines Security-Team weitergeleitet. Deine Nachricht wird innerhalb von 24 Stunden quittiert, und nach spätestens 48 Stunden erhältst du eine detaillierte Antwort mit den nächsten Schritten zur Behandlung der Lücke. Du kannst deine Nachricht mit unserem PGP-Schlüssel verschlüsseln. Er liegt auch auf dem Schlüsselserver des MIT und ist weiter unten nochmals aufgeführt.

Diese Mailadresse erhält täglich viele Spamnachrichten, achte daher bitte darauf, dass deine Nachricht einen sprechenden Betreff trägt. Dies verhindert, dass die Mail übersehen wird. Nach der initialen Antwort auf deinen Bericht wird sich das Security-Team bemühen, dich über den Fortschritt hin zu einer Lösung und Veröffentlichung des Problems auf dem Laufenden zu halten. Wie von RFPolicy vorgeschlagen, bekommst du diese Updates mindestens alle fünf Tage. Tatsächlich wirst du eher alle 24 bis 48 Stunden von uns hören.

Falls du 48 Stunden nach deinem Bericht noch keine Antwort erhalten hast oder nach fünf Tagen kein Update erhalten hast, kannst du einen der folgenden Schritte unternehmen:

Kontaktiere den Security Coordinator (Steve Klabnik (public key)) persönlich.
Kontaktiere seinen Stellvertreter (Alex Crichton (public key)) persönlich.
Poste im Rust Internals-Forum oder frage im #rust-internals-Kanal auf irc.mozilla.org nach.

Bitte sei dir bewusst, dass die Diskussionsforen und der #rust-internals-Kanal öffentlich zugänglich sind. Sprich das offene Sicherheitsproblem nicht an, falls du dort nachhakst. Benutze die Plattformen nur, um den Kontakt zu einem Mitglied des Security-Teams zu suchen.

Veröffentlichungsrichtlinien

Der Veröffentlichungsprozess von Rust-Sicherheitslücken besteht aus fünf Schritten.

Der Sicherheitsbericht wird empfangen und einem Hauptverantwortlichen zugewiesen. Diese Person koordiniert den Korrektur- und Veröffentlichungsprozess.
Das Problem wird verifiziert und eine Liste der betroffenen Versionen wird ermittelt.
Verwandter Code wird auditiert, um ähnliche Probleme aufzudecken.
Für alle noch gewarteten Versionen werden Patches vorbereitet. Diese erscheinen nicht in den öffentlichen Repositories, sondern werden bis zur Ankündigung zurückgehalten.
Am Veröffentlichungstag wird eine Kopie des Ankündigungstextes an die Rust-Security-Mailingliste gesendet. Innerhalb der nächsten sechs Stunden wird die Ankündigung auf dem Rust-Blog veröffentlicht.

Dieser Prozess kann einige Zeit in Anspruch nehmen, vor allem wenn die Absprache mit Maintainern anderer Projekte notwendig wird. Auch wenn die Bemühung besteht, den Bug in kürzester Zeit zu beseitigen, muss der obige Prozess eingehalten werden um sicherzustellen, dass die Veröffentlichung in konsistenter Art und Weise geschieht.

Sicherheitsupdates erhalten

Die beste Möglichkeit, alle sicherheitsrelevanten Ankündigungen zu erhalten, ist die Rust Security Announcements - Mailingliste zu abonnieren (Alternativ per E-Mail an rustlang-security-announcements+subscribe@googlegroups.com). Über die Liste gehen nur sehr wenige Mails, sie erhält jedoch alle Ankündigungen zu Sicherheitslücken, sobald deren Geheimhaltung aufgehoben wurde.

Frühwarnung für Distributoren

Alle Sicherheitslücken werden 72 Stunden vor Aufhebung der Geheimhaltung auf distros@openwall angekündigt, um Linux-Distributionen das Aktualisieren ihrer Pakete zu ermöglichen.

Anmerkungen zu diesen Richtlinien

Falls du Verbesserungsvorschläge zu dieser Richtlinie hast, schreibe eine Mail an security@rust-lang.org.

PGP-Schlüssel im Klartext

Dokumentation

Installation

Community