Politica de Segurança de Rust

Reportar um Bug

Segurança é um dos princípios fundamentais de Rust, e para tal, nós gostariamos de nos assegurar de que Rust tenha uma implementação segura. Muito obrigado por tomar seu tempo para reportar quaisquer problemas que encontrar.

Todos os bugs de segurança encontrados na distribuição do Rust devem ser reportados via email para security@rust-lang.org. Essa lista de emails tem como destinatários um pequeno grupo de segurança. Seu email será lido dentro de 24 horas e você receberá uma resposta mais detalhada dentro de 48 horas indicando os próximos passos a seguir com seu report. Se preferir, você pode encriptar seu report usando nossa chave pública. A chave também está no servidor de keys da MIT e abaixo.

Esse endereço de email recebe muito spam, então certifique-se de usar um assunto descritivo no email pra evitar ser confundido com spam. Depois da resposta inicial, o time de segurança vai se garantir de te manter informado com o andamento em relação à consertar esse erro e o anúncio final. Assim como recomendado por RFPolicy, essas atualizações serão enviadas de 5 em 5 dias, pelo menos. Na realidade, será entre cada 24-48h.

Se você não recebeu uma resposta depois de 48 horas, ou não teve nenhuma notícia do time de segurança depois de 5 dias, tem alguns passos que você pode tomar:

Contate o coordenador de segurança (Steve Klabnik (public key)) diretamente.
Contate o contato reserva (Brian Anderson (public key)) diretamente.
Poste no forum de internos ou pergunte no canal IRC #rust-internals em irc.mozilla.org.

Por favor, note que a discussão nos fórums e #rust-internals são áreas públicas. Quando utilizar essas vias, não discuta o problema diretamente. Simplesmente diga que está tentando contactar alguém do time de segurança.

Política de divulgação

O Projeto Rust tem um processo de divulgação de 5 etapas.

O report de Segurança é recebido e é atribuído ao responsável. Essa pessoa vai coordenar a fix e o processo de release.
O problema é confirmado e uma lista de versões afetadas é determinada.
O código é auditado para encontrar problemas similares.
Fixes são preparadas pra todas as releases que ainda estão sob manutenção. Essas fixes não são enviadas pro repositório principal mas mantidas localmente esperando pelo anúncio.
Na data do embargo, a Lista de emails de segurança de Rust envia uma cópia do anúncio. As mudanças são empurradas pro repositório público e novas builds são deixadas em rust-lang.org. Dentro de 6 horas após a lista ser notificada, uma cópia do aviso será postada no blog de Rust.

Esse processo pode levar algum tempo, especialmente quando coordenação é necessária com mantedores de outros projetos. Todo esforço será feito para cuidar do bug na menor quantidade de tempo possível, entretando é importante seguirmos o processo de release acima para garantir que a divulgação é tratada de maneira consistente.

Recebendo updates de segurança

A melhor forma de receber todos os anúncios de segurança é se inscrever na Lista de emails de segurança de Rust. Essa mailing list tem o tráfego bem baixo e recebe notificações assim que o embargo é levantado.

Notificação avançada

Nós anunciaremos as mudanças 72h antes do embargo ser levantado em distros@openwall, assim todas as distribuições Linux podem atualizar seus pacotes.

Comentários sobre essa política

Se você tem sugestões para melhorar essa política, envie um email para security@rust-lang.org.

Plaintext PGP Key

Documentação

Instale

Comunidade