취약점 공개 정책(Responsible Disclosure)이란?

취약점을 발견했을 때의 올바른 절차:

Responsible Disclosure (책임 있는 공개):

1. 해당 기업/개발자에게 비공개로 알림
2. 수정할 시간 부여 (보통 90일)
3. 패치 후 공개 (기업과 합의)

채널:

• 기업의 security@company.com
• 버그 바운티 플랫폼 (HackerOne, Bugcrowd)
• KISA 취약점 신고 (한국)
• CERT/CC

주의:

• 취약점을 악용하면 불법 — 확인만 하고 즉시 신고
• PoC는 최소한으로만 작성
• 데이터를 다운로드하거나 수정하지 않기
• 허가 없이 침투 테스트 하지 않기

Google Project Zero는 90일 규칙으로 유명합니다. 90일 후 패치 여부와 관계없이 공개합니다.