Repository navigation
SECURITY.md: kendi mainnet öncesi incelemelerimizin neden açık yayınlandığını yaz - #16
Merged
Merged
Conversation
The policy told outside reporters not to open public issues for anything exploitable, and then the internal review of #15 did exactly that. Read together those two facts look like the team exempting itself. They are not the same case, and the difference is worth stating rather than leaving readers to infer it: the mainnet program ids are not deployed, devnet runs on a collateral token with no value, and #15 itself names the external audit as the gate for turning real money on. There is nothing to steal, so publishing costs nothing and the honest-claims policy applies to our own work first. Also says the part that is easy to get wrong: this is not an invitation for anyone else to post publicly. A reporter does not know what is deployed where, and the rule flips the moment any run holds value. Note the private channel this file points at is currently disabled on both repositories, which is how an outside reporter ended up posting partial exploit details in #15 with nowhere else to put them. Enabling it is a repository setting and is tracked separately; this commit only fixes the policy text. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
|
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
2 participants
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
SECURITY.mddışarıdaki raporculara "istismar edilebilir hiçbir şey için public issue açma" diyordu. Sonra #15'in iç incelemesi tam olarak bunu yaptı — leviathan-net#16, dosya/satır ve çalışan exploit testleriyle birlikte.Bu iki olgu yan yana okununca ekip kendini muaf tutuyor gibi duruyor. Tutmuyor, ama farkı okuyucunun çıkarmasına bırakmak yerine yazmak gerekiyordu.
Fark ne
A6Z8jZ…veJD9rHTiq…, mainnet-beta'da ikisi denull)DEVNET.mdbunu zaten söylüyorÇalınacak bir şey yok. Yayınlamanın maliyeti sıfır, ve dosyanın kendi açılış cümlesi — "bir zayıflığı yayınlamayı yokmuş gibi davranmaya tercih ederiz" — ilk olarak kendi işimize uygulanıyor.
Yanlış anlaşılması kolay olan kısım
Eklenen paragrafın ikinci yarısı bunu açıkça söylüyor: bu bizim hakkımızda bir beyan, kimseye davetiye değil. Dışarıdan bir raporcu neyin nerede deploy edildiğini bilmiyor, ve kural herhangi bir run değer tuttuğu anda tersine dönüyor — o noktadan sonra bizimki dahil her şey önce private kanaldan gider.
Hâlâ açık kalan
Bu dosyanın işaret ettiği private vulnerability reporting her iki repoda da kapalı:
Dışarıdan bir raporcunun #15'te kısmi exploit detaylarını public yazmasının sebebi buydu — koyacak başka yer yoktu. Bu bir repo ayarı, kod değil, ve bu PR'ın kapsamı dışında; burada sadece politika metni düzeltiliyor. Ayar açılmadan bounty programı hiçbir yerde duyurulmamalı.
Sadece
SECURITY.md, tek dosya, kod değişikliği yok.