Politique de sécurité

Il est possible que cette politique soit traduite par des membres de la communauté Rust. Dans le cas d’un éventuel conflit entre la version anglaise et la traduction, la version anglaise fait foi.

Signaler

email security@rust-lang.org

Safety is one of the core principles of Rust, and to that end, we would like to ensure that Rust has a secure implementation. Thank you for taking the time to responsibly disclose any issues you find.

All security bugs in the Rust distribution should be reported by email to security@rust-lang.org. This list is delivered to a small security team. Your email will be acknowledged within 24 hours, and you’ll receive a more detailed response to your email within 48 hours indicating the next steps in handling your report. If you would like, you can encrypt your report using our public key. This key is also On MIT’s keyserver and reproduced below.

This email address receives a large amount of spam, so be sure to use a descriptive subject line to avoid having your report be missed. After the initial reply to your report, the security team will endeavor to keep you informed of the progress being made towards a fix and full announcement. As recommended by RFPolicy, these updates will be sent at least every five days. In reality, this is more likely to be every 24-48 hours.

If you have not received a reply to your email within 48 hours, or have not heard from the security team for the past five days, there are a few steps you can take (in order):

Contact both the security coordinators directly:
- Josh Stone
- Pietro Albini
Post on the internals forums

Please note that the discussion forums are public areas. When escalating in these venues, please do not discuss your issue. Simply say that you’re trying to get a hold of someone from the security team.

email security@rust-lang.org

Politique de divulgation

Le projet Rust dispose d'un processus de divulgation en cinq étapes.

Le rapport de sécurité est reçu et est affecté à un responsable. Cette personne coordonnera le processus de correction et de sa diffusion.
Le problème est confirmé et la liste de l'ensemble des versions impactées est déterminée.
Le code est audité afin de repérer potentiellement tout problème analogue.
Des correctifs sont préparés pour toutes les versions qui sont encore maintenues. Ces correctifs ne sont pas transmis sur le dépôt public mais plutôt conservés de façon locale en attendant l'annonce.
À la date d'embargo, la liste de diffusion d'annonces de sécurité reçoit une copie de l'annonce. Les modifications sont poussées sur le dépôt public et les nouvelles versions sont déployées sur rust-lang.org. D'ici 6 heures après cette première diffusion, une copie d'information est publiée sur le blog Rust.

Ce processus peut prendre un certain temps, notamment lorsqu'il est nécessaire de coordonner différents mainteneurs impliqués sur d'autres projets. Tous les efforts seront faits afin de résoudre le bug de la façon la plus réactive possible, cependant il est important de respecter le processus de déploiement des versions ci-dessus afin de s'assurer que la divulgation est gérée de façon consistante.

Recevoir des mises à jour de sécurité

La meilleure façon de recevoir toutes les annonces de sécurité est de s'abonner à la liste de diffusion d'annonces de sécurité (ou alternativement en envoyant un mail à rustlang-security-announcements+subscribe@googlegroups.com). Cette liste de diffusion a un très faible trafic, et reçoit les notifications publiques dès que l'embargo est levé.

Nous annoncerons les vulnérabilités 72 heures avant la levée de l'embargo sur distros@openwall, afin que les distributions Linux puissent mettre à jour leurs paquets.

Clé PGP en texte brut