Sie sind ein Sicherheitsforscher, Sie haben eine kritische Schwachstelle innerhalb einer kleinen Bank-Android-Anwendung von Tausenden von Menschen täglich verwendet entdeckt. Ihr Nachweis des Konzeptcodes ermöglicht es Ihnen, jemanden innerhalb der Anwendung zu imitieren (einschließlich Admins), haben Sie im Grunde Zugang zu allem. Wie berichten Sie Ihre Ergebnisse in einer Weise, dass das Unternehmen nicht legal Ihren Arsch, falls sie sich durch Ihre Entdeckung bedroht fühlen?
Als Sicherheitsforscher ist es wichtig, verantwortungsbewusst zu handeln, wenn Schwachstellen gemeldet werden. Die beste Möglichkeit, Ihre Ergebnisse zu melden, ist es, das für die Anwendung zuständige Unternehmen, in der Regel den Anbieter, zu kontaktieren und ihnen detaillierte Informationen über die Schwachstelle zur Verfügung zu stellen. Sie sollten klare und prägnante Details über die Schwachstelle zur Verfügung stellen, und wie Sie die Schritte reproduzieren, um sie zu nutzen. Es ist auch wichtig, eine Bewertung der Schwere der Schwachstelle und mögliche Auswirkungen zu liefern, und um jeden Nachweis von Konzeptcode oder Screenshots zu liefern, wenn nötig. Sie sollten auch eine Zeitleiste für eine Antwort und Auflösung enthalten, und wie Sie planen, mit dem Anbieter zu arbeiten, um das Problem zu lösen. Es ist wichtig, klar zu sein, dass Sie keine finanzielle Belohnung oder Entschädigung suchen, und dass Sie in gutem Glauben handeln, um die Sicherheit der Anwendung zu verbessern. Schließlich sollten Sie immer sicherstellen, dass Sie den notwendigen rechtlichen Schutz haben, bevor Sie irgendeine Schwachstelle melden.