Re: Pareri su secuirty.txt

On 28 Feb 2019, at 12:42, Marco Ermini <[email protected]> wrote:
> Mah, pensandoci meglio, sono estremamente dubbioso.
> 
> L'articolo non approrta, a mio modo di vedere, niente di convincente in favore dell'uso di security.txt.
> 
> Offrire una facile fonte di raccolta email per spam come standard mi sembra sciocco, e chiamarlo addirittura "security.txt" addirittura ironico.

IMHO si tratta di indirizzi email comunque pubblici, e di scarso valore per uno spammer “generico”. Non è neanche detto che debba essere un indirizzo e-mail, e.g., il security.txt di Facebook riporta una URL a cui effettuare i report (https://www.facebook.com/.well-known/security.txt).

> Inoltre, in caso di web defacement, non si ha alcuna garanzia della bontà e validità di quel file.  Si rischia di mandare il report a chi il sito l'ha violato... [...] Vedrei molto meglio questa informazione in un record DNS, per esempio.

Vero, e c’è una discussione in proposito (https://github.com/securitytxt/security-txt/issues/91). Ma non mi sembra peggio dello stato attuale (e se trovo in security.txt un indirizzo di un altro dominio, mi faccio due domande prima di scrivere!).

> Tralasciando gli aspetti tecnici, a livello pratico l'esperienza (almeno la mia) suggerisce che se qualcuno vuole riportare una vulnerabilità in modo responsabile, il modo per farlo lo trova, senza bisogno di questo file.  Se è un ricercatore con esperienza semplicemente segue gli standard provveduti da ISO/IEC 29147 o dalle raccomandazioni ENISA; altrimenti, basta contattare un CERT, e di solito loro sanno dove andare.  Oppure sei Travis e mandi un twit ;-)

Yep, se l’azienda rende a disposizione un punto di contatto, ma tralasciamo..., difatti IMHO i benefici non siano enormi, anche perché l’esistenza del .well-known/security.txt non è così nota.

OTOH, il metodo di contatto è abbastanza variabile (security@, secure@, cybersecurity@, product-security@, csirt@, csoc@, soc@, un form su un sito web, ...), soprattutto nel caso di entità piccole \ senza un bounty program consolidato \ siti totalmente in una lingua sconosciuta a chi per qualche ragione ha trovato la vulnerabilità [1] \ ... --- quindi in questi casi security.txt potrebbe essere un (piccolo) vantaggio.

Alla fine, svantaggi non ne vedo =)

My 2 cents,
—Marcello________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List