Politica di sicurezza di Rust

Segnalare un problema

La sicurezza è uno dei principi fondamentali di Rust e con tale proposito vorremmo assicurarci che Rust abbia un'implementazione sicura. Ti ringraziamo per aver preso del tempo per comunicare responsabilmente ogni problematica da te trovata.

Tutti i problemi di sicurezza in Rust devono essere riportati per email a security@rust-lang.org. Questo indirizzo consegna il messaggio a un piccolo team di sicurezza. La tua email sarà visionata entro 24 ore e riceverai una mail di risposta più dettagliata entro 48 ore indicante i passi successivi per la gestione della tua segnalazione. Se preferisci, puoi criptare la segnalazione usando la nostra chiave pubblica. Disponibile anche sul server delle chiavi del mit e su questa pagina.

Questo indirizzo email riceve molto spam, quindi assicurati di inserire nell'oggetto informazioni descrittive per evitare che la segnalazione finisca ignorata. Dopo la risposta iniziale, il team di sicurezza ti terrà aggiornato sui progressi fatti verso la risoluzione del problema e il suo annuncio al pubblico. Come raccomandato da RFPolicy, questi aggiornamenti verranno mandati almeno ogni cinque giorni. In realtà è più probabile che sia ogni 24-48 ore.

Se non hai ancora ricevuto risposta alla tua email dopo 48 ore o il team di sicurezza non si è fatto sentire per almeno cinque giorni, ecco alcune cose che puoi fare:

Contatta l'attuale coordinatore della sicurezza (Steve Klabnik (chiave pubblica)) direttamente.
Contatta il vice coordinatore (Brian Anderson (chiave pubblica)) direttamente.
Posta sui forum di sviluppo o chiedi sul canale IRC #rust-internals su irc.mozilla.org.

Nota bene che i forum di discussione e il canale IRC #rust-internals sono aree pubbliche. Annunciando pubblicamente evita per favore di discutere direttamente della problematica ma piuttosto indica di stare cercando un contatto con il team di sicurezza.

Politica di diffusione

La politica di diffusione del progetto Rust si compone di 5 fasi:

Il rapporto di sicurezza è ricevuto e assegnato a un amministratore. Questa persona coordinerà il processo di risoluzione e rilascio.
Il problema viene confermato e viene stilata una lista di tutte le versioni vulnerabili.
Viene ispezionato il codice alla ricerca di problematiche associate.
Vengono preparate modifiche per tutte le versioni in stato di manutenzione attiva queste modifiche non sono condivise pubblicamente ma mantenute in locale in attesa dell'annuncio.
Alla data di fine della non divulgazione, nella mailing list di sicurezza del progetto Rust è spedita una copia dell'annuncio. I cambiamenti sono inoltrati al repository pubblico e le nuove versioni sono pubblicate su rust-lang.org. Entro 6 ore della notifica alla mailing list, una copia dell'annuncio verrà pubblicata sul blog ufficiale di Rust.

Questo processo può richiedere un po' di tempo, specialmente quando è richiesta coordinazione con gli sviluppatori di altri progetti. Verrà fatto ogni sforzo possibile per gestire la problematica in maniera celere, ad ogni modo è importante seguire il processo evidenziato sopra per assicurare una gestione coerente.

Ricevere aggiornamenti di sicurezza

Il miglior modo per ricevere gli aggiornamenti di sicurezza è iscriversi alla mailing list di sicurezza del progetto Rust. La mailing list non è molto attiva e riceve le notifiche pubbliche nel momento in cui la non divulgazione termina.

Notifiche in anticipo

Annunceremo 72 ore prima della fine della non divulgazione a distros@openwall, in modo che le distribuzioni Linux possano aggiornare i loro pacchetti.

Commenti a questa politica

Se hai suggerimenti su come migliorare questa politica, manda una mail a security@rust-lang.org.

Chiave PGP in chiaro

Documentazione

Installazione

Comunità