Güvenlik Politikası

This policy may be translated by Rust community members. If there is any conflict between the English version and a translation, the English version will apply.

Raporlama

security@rust-lang.org'a E-Posta Gönder

Safety is one of the core principles of Rust, and to that end, we would like to ensure that Rust has a secure implementation. Thank you for taking the time to responsibly disclose any issues you find.

All security bugs in the Rust distribution should be reported by email to security@rust-lang.org. This list is delivered to a small security team. Your email will be acknowledged within 24 hours, and you’ll receive a more detailed response to your email within 48 hours indicating the next steps in handling your report. If you would like, you can encrypt your report using our public key. This key is also On MIT’s keyserver and reproduced below.

This email address receives a large amount of spam, so be sure to use a descriptive subject line to avoid having your report be missed. After the initial reply to your report, the security team will endeavor to keep you informed of the progress being made towards a fix and full announcement. As recommended by RFPolicy, these updates will be sent at least every five days. In reality, this is more likely to be every 24-48 hours.

If you have not received a reply to your email within 48 hours, or have not heard from the security team for the past five days, there are a few steps you can take (in order):

Contact both the security coordinators directly:
- Josh Stone
- Pietro Albini
Post on the internals forums

Please note that the discussion forums are public areas. When escalating in these venues, please do not discuss your issue. Simply say that you’re trying to get a hold of someone from the security team.

security@rust-lang.org'a E-Posta Gönder

Açıklama politikası

Rust projesi 5 aşamalı bir bildiri sistemine sahiptir.

Güvenlik raporu alınmıştır ve ilgili kişiye atanmıştır. Bu kişi düzeltmeyi koordine edecek ve süreci yayınlayacaktır.
Problem doğrulanmıştır ve tüm etkilenen sürümler saptanmıştır.
Kod, benzer problemlerin olma olasılığı sebebiyle kontrol edilmiştir.
Tüm sürümler, ki hepsi hala bakım sürecine dahildir, için bir düzeltme hazırlanır. Bu düzeltmeler halka açık depoya işlenmektense yerel tutulur ve duyuruyu bekler.
Ambargo tarihinde, Rust güvenlik postası listesine duyurunun bir kopyası gönderilir. Değişiklikler halka açık depoya ittirilir ve yeni yapılar rust-lang.org'da dağıtılır. E-posta listesindeki kişilerin bilgilendirmesini takip eden 6 saat içerisinde danışmanın bir kopyası Rust blogunda paylaşılacaktır.

Bu işlem zaman alabilir, özellikle diğer projelere bakım yapan kişilerle işbirliği gerekliyse. Hatayı zamanında düzeltmek için mümkün olan en fazla çaba sarf edilecektir. Bunlara rağmen sürüm yayınlama sürecimizi takip etmek bilgilendirmenin tutarlı bir şekilde işlendiğinden emin olmamızı sağlayacaktır.

Güvenlik güncellemelerini alma

Güvenlik duyurularını almanın en iyi yolu Rust güvenlik duyuruları e-posta listesine (ayrıca rustlang-security-announcements+subscribe@googlegroups.com adresine e-posta göndererek de abone olabilirsiniz) abone olmaktır. Bu listenin trafiği çok azdır ve liste, ambargo kalktığı gibi halka açık bildirimleri alır.

Güvenlik açıklarını ambargonun kaldırılmasından 72 saat önce distros@openwall kanalıyla duyuracağız. Bu, Linux dağıtımlarının paketlerini güncellemesi için zaman tanıyacaktır.

Düz metin PGP anahtarı