主要观点:作者因在比利时的一次协调漏洞披露(CVD)经历,认为比利时对尝试进行 CVD 的人不安全,决定不再向比利时任何组织警告漏洞,并阐述了比利时相关法律规定及带来的问题。
关键信息:
- CVD 目的是发布系统漏洞供他人学习以提升整体安全,有协调(C)等环节,有官方标准但协调有限制。
- 在比利时发现一政府组织系统漏洞,需按规定向 CCB 报告,包括 24 小时内简单报告及 72 小时内详细报告等,违反可能面临刑事起诉和惩罚性赔偿,且 CCB 拒绝回答不遵守的后果等。
- 对保密性义务有道德异议,请求解除被拒,仅获抽象告知可公开提及“业务逻辑错误”概念的许可,未获具体受影响对象许可,且被告知可能收回许可。
- 多利益相关方 CVD 过程中,只要有比利时组织参与就几乎不可能,发现比利时一个漏洞系统需 24 小时内确定所有者等并向 CCB 报告,未获 CCB 许可不能告知其他 999 个系统所有者。
重要细节:作者偶然发现漏洞后按要求尽力报告但仍面临诸多问题,如不知如何上诉、不知自身权利等,最终决定以后遇到有比利时所有者的系统漏洞就放弃,以免冲突和法律执行带来不良后果。
**粗体** _斜体_ [链接](http://example.com) `代码` - 列表 > 引用
。你还可以使用@
来通知其他用户。