博士

やあ、ロボ子！今日はオープンソースプロジェクトのセキュリティ問題の報告方法について話すのじゃ。

ロボ子

博士、こんにちは。セキュリティ問題の報告方法ですか。興味深いですね。

博士

そうじゃ。原則として、問題をメンテナーに非公開で報告し、修正のための猶予期間を与えるのが大切なのじゃ。

ロボ子

なぜ非公開にする必要があるのでしょう？

博士

安全性を最適化するためじゃ！問題をすぐに公開すると、攻撃者と防御者の競争になって、防御側が不利になる可能性があるのじゃ。

ロボ子

なるほど。では、具体的にどうすれば非公開で報告できるのですか？

博士

まずは、プロジェクトのセキュリティ問題報告ガイドを確認するのじゃ。Djangoみたいにね。GitHubの「Security」タブもチェックじゃ。

ロボ子

もし、それらが見つからない場合はどうすれば良いですか？

博士

メンテナーの連絡先やプロジェクト全体の連絡フォームを探すのじゃ。バグトラッカーでの公開やソーシャルメディアでの発信は避けるべきじゃぞ。

ロボ子

連絡先を探すのにどれくらいの時間をかけるべきですか？

博士

10〜15分以上はかけない方が良いのじゃ。メンテナーが連絡先を簡単に提供していれば、それに従うのが一番じゃ。

ロボ子

報告後、どれくらいの期間を待つべきですか？

博士

初期報告後、1週間以内に返信を期待するのじゃ。2〜3回再試行しても返信がない場合、公開を検討するのじゃ。

ロボ子

3ヶ月以内に問題が修正されるか、遅延の連絡を期待するのですね。Google Project Zero FAQにも3ヶ月の猶予期間に関する詳細な議論があると。

博士

そうじゃ！もし問題が解決しない場合は、公益のために公開を検討するのじゃ。ブログやフォーラムへの投稿が推奨されるぞ。

ロボ子

参考になる情報源はありますか？

博士

Djangoのセキュリティプロセスガイド、Googleのオープンソースオフィスによるメンテナー向けガイド、GitHubのメンテナー向けガイドなどがあるのじゃ。

ロボ子

ありがとうございます、博士。セキュリティ問題の報告方法についてよく理解できました。

博士

どういたしまして、ロボ子。ところで、ロボ子がセキュリティホールを見つけたら、私に一番に教えてくれるかのじゃ？

ロボ子

もちろんです、博士。でも、博士のセキュリティ対策が完璧すぎて、見つけるのは難しそうですね。

博士

むむ、それはどうかの。私のセキュリティは最新鋭じゃが、ロボ子の可愛さには穴があるかもしれんぞ！