Zararlardan sorumlu olabilir misiniz? Haksız Fiil Yasası uyarınca, evet.
Birinin sizin kodunuza göre bir virüs geliştirdiğini varsayalım. Virüs milyonlarca dolarlık hasara neden oldu. Davacı (yazılım satıcısı) şunları iddia edebilir:
veya makul bir şekilde öngörebileceğiniz ihmallerin komşunuza zarar vermesi olasıdır
Donoghue v. Stevenson (1932) (İngiltere)
Bakım Görevi kavramı, ABD hukukunda da yer almaktadır, örneğin, MacPerson v. Buick Motor Co. (1916) , ihmal bir sözleşme gerektirmez.
Kodunuz arasında bir nedensellik ilişkisi vardır
İhtilaftan yükümlüsünüz.
Hasar: Bu kullanıcıların yazılım satıcısına kayıpları için dava açması muhtemeldir. Yazılım satıcısı, sizin yüzünüzden yazılım satıcısının müşterilerine tazminat ödemesi gerektiğinden, size dava açacaktır.
Bu, elbette, tam olarak ne yayınladığınıza bağlıdır. halka. Örneğin, "kavram kanıtınızı" gerçek bir istismara dönüştürmek için önemli ölçüde çaba sarf etmeniz gerekiyorsa ve bu güvenlik açığını önlemek için bir geçici çözüm sağladıysanız, neden ve sonuç bağlantısının çok uzak olduğunu iddia ederek kendinizi savunabilirsiniz .
Yani raporu gizli tutmalı mıyım? Ya yazılım açık kaynaklıysa?
Pek değil. "Kavram kanıtınızın" gerçek bir istismar olmadığından ve bir bilgisayar korsanının işleyen bir kötü amaçlı yazılım geliştirmek için önemli ölçüde zamana ihtiyacı olduğundan emin olmak için makul önlemleri almalısınız. CVE, güvenlik açıklarının herkes tarafından paylaşıldığı bir platformdur.
Satıcıya güvenlik açığını düzeltmesi için makul bir süre verdiyseniz ne olur?
Satıcının güvenlik açığını düzeltmesi için zaman verilip verilmediğinin (sizin için) önemi yoktur. Satıcı için önemlidir, çünkü daha sonra bir şey olursa, satıcı sorunu önceden bilmekle yükümlüdür ve sorunu düzeltmek için uygun kaynakları tahsis etmemiştir.
Bir güvenlik açığının var olduğunu göstermek bu güvenlik açığından nasıl yararlanılacağına dair talimat gerektirir. Örneğin, saldırının etkilerini gösteren bir video kaydedebilirsiniz.
Burada (Wayback Machine; orijinal bağlantı öldü), Motorola'nın sorunları ele almasıyla ilgili ilginç bir okuma. Xerox CP-V sisteminde bir güvenlik açığı keşfettikten ve Xerox sorunu çözdükten sonra kendi elleriyle çözdü.