Règles relatives à la sécurité de Rust

Rapporter un bug

La sécurité est l'un des principes fondamentaux de Rust. Aussi, nous souhaitons nous assurer que Rust dispose d'une implémentation sûre. Merci de prendre le temps de divulguer de façon responsable tout problème que vous pourriez trouver.

Tous les bugs relatifs à la sécurité de Rust doivent être rapportés par courrier électronique à cette adresse : security@rust-lang.org. Les destinataires de cette adresse forment une équipe restreinte dédiée à la sécurité. Nous prendrons connaissance de votre e-mail dans les 24 heures qui suivent sa réception et vous recevrez une réponse plus détaillée en 48 heures qui indique les étapes qui seront entreprises suite à votre rapport. Si vous le souhaitez, vous pouvez chiffrer votre rapport en utilisant notre clé publique. Cette clé est également disponible sur le serveur de clés du MIT et est reproduite ci-après.

Cette adresse électronique reçoit de nombreux spams. Aussi, assurez-vous d'indiquer un sujet descriptif afin que votre rapport ne soit pas ignoré. Suite à la première réponse relative à votre rapport, l'équipe de sécurité fera son maximum pour vous tenir informé de l'avancé d'un correctif et de la publication. Suivant les recommandations de la RFPolicy, ces informations seront au moins envoyées tous les cinq jours. En réalité, ce délai est généralement de 24-48 heures.

Si vous n'avez pas reçu de réponse à votre courrier électronique dans les 48 heures qui ont suivi ou que vous n'avez pas reçu d'informations de la part de l'équipe de sécurité depuis plus de cinq jours, voici quelques étapes à suivre :

Contactez directement le coordinateur actuel de l'équipe de sécurité (Steve Klabnik (clé publique)).
Contactez directement son suppléant (Brian Anderson (clé publique)).
Rédigez une demande sur les forums internes ou demandez sur le canal IRC #rust-internals sur irc.mozilla.org.

Veuillez noter que les forums de discussion, ainsi que le canal #rust-internals sont des espaces publics. Lorsque vous utilisez ces moyens pour nous contacter, merci de ne pas discuter du problème de sécurité. Indiquez simplement que vous souhaitez contacter un membre de l'équipe de sécurité.

Règles de divulgation

Le processus de divulgation du projet Rust s'effectue en cinq étapes.

Le rapport de sécurité est reçu et est affecté à un responsable. C'est cette personne qui coordinera le processus de correction et de sa diffusion.
Le problème est confirmé et la liste de l'ensemble des versions impactées est dressée.
Le code est audité afin de repérer éventuellement tout problème analogue..
Des correctifs sont préparés pour toutes les versions qui sont encore maintenues. Ces correctifs ne sont pas transmis sur le dépôt public mais conservés de façon locale en attendant l'annonce.
À la date d'embargo, la liste de diffusion relative à la sécurité de Rust reçoit une copie de l'annonce. Les modifications des correctifs sont envoyées sur le dépôt public et les nouvelles versions sont déployées sur rust-lang.org. Six heures après cette première diffusion, une copie d'information est publiée sur le blog Rust.

Ce processus peut prendre un certain temps, notamment lorsqu'il est nécessaire de coordiner différents mainteneurs impliqués sur d'autres projets. Tous les efforts seront faits afin de résoudre le bug de la façon la plus réactive qui soit. Toutefois, il est incontournable de respecter le processus de déploiement des versions afin de s'assurer que la divulgation est gérée de façon cohérente.

Recevoir les informations relatives à la sécurité

Afin de recevoir les annonces liées à la sécurité du projet Rust, la meilleure méthode consiste à s'abonner à la liste de diffusion pour les annonces de sécurité. Cette liste de diffusion reçoit peu d'e-mails et reçoit les notifications publiques lorsque l'embargo est levé.

Notifications en avance

Nous annoncerons les vulnérabilités 72 heures avant la levée de l'embargo sur distros@openwall afin que les distributions Linux puissent mettre à jour leurs paquets.

Commentaires relatifs à ces règles

Si vous souhaitez nous faire part de suggestions pour améliorer ces règles, merci de nous écrire à security@rust-lang.org.

Clé PGP en texte simple

Documentation

Installer

Communauté