W3C標準の脆弱性開示・対応プロセスおよびポリシー

W3C の標準および仕様には、ユーザー、実装者、または Web プラットフォームにセキュリティリスクをもたらす設計上の 問題が含まれる場合があります。研究者やより広範なコミュニティからの報告は、W3C がそれらの問題を特定し、それらを評価して対処できる 人々へと引き継ぐのに役立ちます。

このポリシーでは、W3C が、 W3C の標準および仕様における脆弱性の疑いに関する報告をどのように受領し、トリアージし、振り分け、 調整するかについて説明します。

W3C の 文書に脆弱性を発見したと思われる場合は、協調的な 開示のため、standards-vulnerability@w3.org までご連絡ください。

このメールアドレスは、W3C チームによる初期トリアージの連絡窓口となります。トリアージ後、W3C チームは、 報告内容および影響を受ける仕様に応じて適切なグループを関与させます。通常、これには チーム連絡担当者、議長、編集者が含まれ、意見が必要な場合には他の人々も含まれることがあります。

PGP 鍵を使用して暗号化したメッセージを standards-vulnerability@w3.org に送信することを推奨します。このメールアドレスには 公開 アーカイブはありません。

プロセスを円滑に進めるため、報告には、 ISO/IEC 29147 および NIST SP 800-216 で推奨されている次のような詳細を含める必要があります：

• 脆弱性が存在する具体的な文書（例：そのタイトル、 安定した URL、および 公開日）。
• 脆弱性の種類についての簡潔な説明（例：安全でない 暗号 アルゴリズムの使用）。
• 脆弱性を再現する手順。理想的には、無害で破壊的でない概念実証。
• この脆弱性を悪用した場合の影響と、攻撃 シナリオにおいてどのように利用され得るか。
• 提案する是正措置または緩和措置（ある場合）。
• 連絡先情報（任意。匿名での報告を可能にするためですが、追加の 確認には役立ちます）。

以下の点にご注意ください：

• 「バグ報奨金」はありません： W3C は、報告された 脆弱性に対して「バグ報奨金」を支払いません。
• 機密保持：このポリシーに関与する報告者およびコーディネーターは、 その任務の遂行において取得した情報およびデータの機密性を尊重します。特に、 知的財産権、機密の事業情報、ならびに公共および国家の安全保障上の 利益に関するものが対象となります。 リスクを最小限に抑えるため、機微な脆弱性情報は秘密裏に伝達する必要があります。
• 研究者の保護：W3C は、 セキュリティを探究する研究の重要性と、 脆弱性研究者がその活動の過程で直面する可能性のある法的な課題を認識しています。 W3C は、善意で 情報セキュリティを調査する研究者を、その研究活動を理由として訴追しません。 このポリシーは、一般的な脆弱性の責任ある開示に関する適切な 慣行と互換性を持つよう設計されており、適用法に反する方法で行動することを 許可するものではありません。

受領後、セキュリティ課題は3営業日以内に確認応答され、 報告者との 連絡チャネルが確立されます。

受領確認後、セキュリティ上の問題について、その有効性、技術的な 深刻度、 関連性、および潜在的な影響を判断するための評価が行われます。

W3C は、問題の有効性を検証し、 15 営業日以内に報告者へ通知することを目指します。セキュリティ上の問題を検証するために さらに情報が必要な場合、W3C は情報提供元に追加の詳細を求めます。

W3C チームは、これらの対応 目標を追跡し、さらに多くの時間、 調整、または権限が必要な場合に報告をエスカレーションする責任を負います。

脆弱性報告は、それが参照する文書の種類に応じて処理されます。

W3C はその後、報告者および 影響を受ける文書を担当するグループと調整を行います。ほとんどの 場合、解決には主として関連文書の更新が伴います。

更新が利用可能となり、関連技術の更新および リリースを実装するために十分な時間が確保された後、 W3C は、修正済みの 脆弱性に関する情報の共有および公開を推奨します。これには、脆弱性の説明、ユーザーが 影響を受ける標準を特定できる情報、影響および深刻度、ならびに実装者および ユーザーが 問題を修正するのに役立つ明確な情報が含まれる場合があります。公開によるセキュリティ上のリスクがセキュリティ上の利点を上回る場合には、 実装者およびユーザーが関連する 対策を適用する機会を得るまで、公開が 遅延されることがあります。

W3Cは、脆弱性が解決された後にあなたの報告を 開示する要請を歓迎し、 公開発表を調整することを目指します。報告者が公に認められることを望む場合、W3Cは、報告者が公にクレジットされることを望むことを条件として、 脆弱性を報告したことについて謝意を示します。