Rusts Säkerhetspolicy

Rapportera en Bugg

Säkerhet är en av kärnprinciperna för Rust, och därför vill vi se till att Rust har en säker implementation. Tack för att du tar dig tid att ansvarsfullt avslöja eventuella problem som du hittar.

Alla säkerhetsbuggar i Rust-distributionen ska rapporteras via email till security@rust-lang.org. Denna listan vidarebefordras till ett litet säkerhetsteam. Ditt email kommer uppmärksammas inom 24 timmar och du kommer få ett mer detaljerat svar till din email inom 48 timmar som indikerar de nästa stegen i hanteringen av din rapport. Om du vill kan du kryptera din rapport med vår publika nyckel. Denna nyckel är också på MITs nyckelserver och reproducerad nedan.

Den här emailadressen tar emot en stor mängd skräppost, så se till att du använder en beskrivande ämnesrad för att undvika att din rapport missas. Efter det första svaret på din rapport kommer säkerhetsgruppen att försöka hålla dig informerad om framsteg som görs mot en åtgärd och ett fullständigt tillkännagivande. Som rekommenderat på RFPolicy, kommer dessa uppdateringar skickas åtminstone var femte dag. I verkligheten är det snarare var 24-48:e timme.

Om du inte har fått ett svar på ditt email inom 48 timmar, eller inte har hört från säkerhetsgruppen under de senaste fem dagarna, finns det några steg du kan ta:

Kontakta den nuvarande säkerhetskoordinatorn (Steve Klabnik (publik nyckel)) direkt.
Kontakta backup-kontakten (Alex Crichton (publik nyckel)) direkt.
Skriv på de interna forumen eller fråga i IRC-kanalen #rust-internals på irc.mozilla.org.

Observera att diskussionsforumen och IRC-kanalen #rust-internals är publika arenor. När du eskalerar på dessa platser ska du inte diskutera ditt säkerhetsproblem. Säg istället helt enkelt att du försöker få tag på någon från säkerhetsteamet.

Policy för Iillkännagivande

Rust-projektet har en 5-stegs tillkännagivandeprocess.

Säkerhetsrapporten tas emot och tilldelas en huvudsamordnare. Den här personen kommer att samordna fix- och release-processen.
Problemet bekräftas och en lista över alla drabbade versioner bestäms.
Koden granskas för att hitta eventuella liknande problem.
Åtgärder förbereds för alla releaser som fortfarande är under underhåll. Dessa fixar comittas inte till det offentliga git-repot utan hålls istället lokalt i väntan på tillkännagivande.
På tillgännagivandedagen skickas en kopia av tillgännagivandet till Rusts säkerhets-email-lista. Förändringarna pushas till det offentliga git-repot och nya byggda releaser distribueras till rust-lang.org. Inom 6 timmar efter att email-listan notifierats kommer en kopia av tillkännagivandet att publiceras på Rust-bloggen.

Den här processen kan ta lite tid, speciellt när koordinering krävs med underhållare av andra projekt. Alla ansträngningar kommer att göras för att hantera buggarna så snabbt som möjligt, men det är viktigt att vi följer releaseprocessen ovan för att säkerställa att tillkännagivandet hanteras på ett konsekvent sätt.

Att Ta Emot Säkerhetsuppdateringar

Det bästa sättet att ta emot alla säkerhetstillkännagivanden är att prenumerera på Rusts mail-lista för säkerhetstillkännagivanden (alternativt genom att skicka ett email till rustlang-security-announcements+subscribe@googlegroups.com) Den här mail-listan har väldigt låg traffik och tar emot den publika notifikationen när embargot upphävs.

Notifikation på Förhand

Vi kommer at tillkännage sårbarheter 72 timmar före emargot lyfts på mail-listan distros@openwall, så att linux-distributioner kan uppdatera deras paket.

Kommentarer på Denna Policy

Om du har några förslag på hur denna policy kan förbättras, var god skicka ett email till security@rust-lang.org.

PGP-nyckel i klartext

Dokumentation

Installation

Community