คุณควรจะปล่อยบางสิ่งที่คุณสามารถแฮ็คได้หรือไม่

ในฐานะผู้สร้างโปรแกรมคุณอาจอยู่ในตำแหน่งที่ดีกว่าใครก็ตามที่ต้องระวังช่องโหว่ด้านความปลอดภัยและแฮ็คที่อาจเกิดขึ้น หากคุณรู้ว่ามีช่องโหว่ในระบบที่คุณเขียนนั่นคือสัญญาณที่เพิ่มความปลอดภัยต้องเพิ่มก่อนเผยแพร่หรือควรประเมินเป็นกรณี ๆ ไปเพื่อพิจารณาความรุนแรงของช่องว่างความปลอดภัยหรือไม่

ฉันจะบอกว่ามันควรจะทำในแต่ละกรณี คุณเป็นผู้เขียนคุณรู้หลายหลุม คุณรู้จักช่องโหว่บางอย่างเท่านั้น แน่นอนซึ่งหมายความว่าหากมีผู้ใดถูกนำไปใช้ประโยชน์คุณอาจมีคำถามที่ตอบยากดังนั้นจึงควรลดช่องโหว่เหล่านี้หากเป็นไปได้ ที่สำคัญกว่านั้นคือถ้าใครบางคนสามารถแฮ็คมันเป็นระบบ Blackbox ได้อย่างง่ายดาย

ฉันมีประสบการณ์ที่โชคร้ายที่ได้อยู่ในสถานการณ์สองครั้ง ธุรกิจในทั้งสองกรณีทำการวางจำหน่ายผลิตภัณฑ์ที่มีปัญหาด้านความปลอดภัยที่ร้ายแรงพร้อมกับข้อมูลที่มีความอ่อนไหวมาก

ในทั้งสองกรณีธุรกิจดูเหมือนจะไม่สนใจแม้ว่าฉันจะพยายามอย่างดีที่สุดเพื่อให้พวกเขาตระหนักถึงความเสี่ยงที่เกิดขึ้น

สิ่งเดียวที่คุณสามารถทำได้คือการประท้วงเป็นเสียงดัง * (และเป็นมืออาชีพ) ที่เป็นไปได้เป็นที่ชัดเจนเท่าที่คุณสามารถเกี่ยวกับผลกระทบที่อาจเกิดขึ้นและในขณะที่คุณกำลังทำว่าทุกอย่างเอกสาร พิมพ์อีเมลที่เกี่ยวข้องของคุณไปยัง PDF และเก็บไฟล์เหล่านั้นไว้ที่บ้านหรือสำเนาลับถึงที่อยู่อีเมลส่วนตัวของคุณหรือทำตามที่คุณต้องการ นี่เป็นทางออกเดียวสำหรับเมื่อสิ่งที่ไม่ดีเกิดขึ้นอย่างหลีกเลี่ยงไม่ได้

คุณหวังว่าฝ่ายบริหารจะเคารพคุณสำหรับคำแนะนำด้านเทคนิคของคุณและคำนึงถึงเรื่องนั้น แต่น่าเสียดายที่คุณต้องเคารพผู้ตัดสินใจในตอนท้ายของวัน การตัดสินใจทางธุรกิจที่ไม่ดีเกิดขึ้นทุกวัน

แก้ไข: jasonk พูดถึง "โปรดระวัง BCCing ที่อยู่บ้านของคุณ" และฉันเห็นด้วยอย่างมาก โปรดอย่าละเมิดนโยบายของ บริษัท และเสี่ยงต่อการเปิดช่องโหว่ด้านความปลอดภัยมากกว่าที่เคยเป็นมา

ฉันเถียงตรงกันข้าม - ในฐานะผู้สร้างคุณมักจะอยู่ใกล้โค้ดเกินไปเพื่อดูช่องโหว่

หากคุณรู้หรือได้รับการบอกเล่าเกี่ยวกับช่องโหว่พวกเขาจะเป็นเหมือนข้อบกพร่องอื่น ๆ - ประเมินจัดลำดับความสำคัญแล้วแก้ไข

ฉันคิดว่าคำตอบนั้นขึ้นอยู่กับระดับของอันตรายที่จะเกิดขึ้นหากระบบถูกแฮ็กเกอร์ที่เป็นอันตราย เห็นได้ชัดว่าวิศวกรโยธาไม่สามารถอนุมัติการออกแบบสะพานที่ไม่ปลอดภัยด้วยความรู้สึกผิดชอบชั่วดี การก่อสร้างสะพานดังกล่าวอาจส่งผลให้เกิดการบาดเจ็บหรือเสียชีวิต มันจะผิดกฎหมายสำหรับวิศวกรที่จะทำสิ่งนี้อย่างรู้เท่าทัน แต่ความจริงที่ว่าวิศวกรซอฟต์แวร์ (อย่างน้อยในสหรัฐอเมริกา) ไม่ได้ถูกผูกมัดอย่างถูกกฎหมายในลักษณะเดียวกันไม่ได้ปลดเปลื้องภาระหน้าที่ระดับมืออาชีพเพื่อต่อต้านระบบที่ผิดพลาด น่าเสียดายที่ บริษัท ของคุณอาจไม่ต้องการลายเซ็นของคุณในการเผยแพร่ซอฟต์แวร์

คุณไม่ได้ระบุลักษณะที่แน่นอนของระบบที่คุณกำลังทำงานอยู่ หากมันเกี่ยวข้องกับเวชระเบียนธนาคารการควบคุมการจราจรทางอากาศหรือโครงสร้างพื้นฐานที่สำคัญอื่น ๆ ผมขอบอกว่าคุณจะได้รับการพิสูจน์ในเรื่องความปลอดภัยในระดับสูงสุดก่อนที่จะปล่อยออกมา

ใช่คุณควรแก้ไขก่อนที่จะปล่อยออกมา อย่าประมาทความฉลาดของแฮ็กเกอร์ คุณจะไปพักผ่อนวันหยุดเป็นเวลาหนึ่งสัปดาห์ด้วยการเปิดประตูหลังที่เปิดกว้างหรือไม่? ข้อแก้ตัวของคุณจะเป็น

“ โอ้มันอยู่ด้านหลังและมันไม่ได้หันหน้าไปทางถนนโดยตรงไม่มีใครจะเห็นว่ามันแขวนเปิดกว้าง .. ”

อาจจะไม่.

แต่ฉันเข้าใจในทุกวันนี้ด้วย clueless PM ว่าวันวางจำหน่ายที่ศักดิ์สิทธิ์ที่สุดมีความสำคัญมากกว่าปัญหาหนี้สินที่อาจเกิดขึ้นอย่างมากกับความปลอดภัย หากเป็นกรณีของคุณฉันขอแนะนำให้โทรไปยังบันทึกปัญหาตรวจสอบให้แน่ใจว่ามีการบันทึกไว้เป็นอย่างดีรู้จักกันดีและมีการอธิบายความเสี่ยงอย่างชัดเจนและให้ PM ตัดสินใจว่าจะทำอย่างไร

หากนายกฯ ตัดสินใจไม่ดีและตัดสินใจเพิกเฉยต่อเรื่องนี้และไปข้างหน้าด้วยการปล่อยตัวตามกำหนดเวลาแสดงว่าคุณมีความรับผิดชอบอย่างเต็มที่ตั้งแต่คุณเป่านกหวีด

มิฉะนั้นถ้าคุณพบสิ่งนี้และเก็บมันไว้กับตัวคุณเองและบางสิ่งบางอย่างเกิดขึ้นคุณสามารถรับผิดชอบต่อผลที่ตามมาเป็นการส่วนตัว

ทางเลือกเป็นของคุณ