นักวิจัยด้านความปลอดภัยค้นพบช่องโหว่ร้ายแรงใน software ของบริษัทขนาดใหญ่ก่อนที่บริษัทจะรู้ตัว ในหลักจริยธรรมการเปิดเผยช่องโหว่ (Responsible Disclosure / Coordinated Vulnerability Disclosure) แนวทางที่ถูกต้องคืออะไร
กรายงานตรงต่อหน่วยงานรัฐบาลทันทีและไม่แจ้งบริษัทเจ้าของ
ขแจ้งบริษัทเจ้าของ software ก่อนในลักษณะลับ กำหนดระยะเวลาเหมาะสมให้แก้ไข จากนั้นจึงเผยแพร่หลังมีการแพตช์แล้ว
คเผยแพร่ช่องโหว่ทันทีในฟอรัมสาธารณะเพื่อให้ผู้ใช้รับทราบและป้องกันตัวเองได้
งขายข้อมูลช่องโหว่ให้บริษัทคู่แข่งเพื่อผลประโยชน์ทางธุรกิจ
เฉลยอธิบาย
Responsible Disclosure (หรือ Coordinated Vulnerability Disclosure) เป็นหลักจริยธรรมที่นักวิจัยต้องแจ้งบริษัทก่อนเป็นการลับ ให้เวลาแก้ไข (มาตรฐาน 90 วัน ตาม Google Project Zero) แล้วจึงเผยแพร่สาธารณะเพื่อให้ผู้ใช้รับรู้และอัปเดต ตัวเลือก A อาจทำให้ผู้ไม่หวังดีใช้ประโยชน์ก่อนแก้ไข ตัวเลือก C ผิดทั้งกฎหมายและจริยธรรม ตัวเลือก D ข้ามขั้นตอนที่บริษัทควรมีโอกาสแก้ไขก่อน