W3C標準の脆弱性開示・対応プロセスおよびポリシー

World Wide Web Consortium（W3C）は、W3C標準および 仕様にいくつかのセキュリティ課題が存在し得ることを認識しています。W3Cは、研究者が 私たちの作業にフィードバックを提供してくれることに感謝しています。それは、Webを 安全に保つために不可欠だからです。W3C 仕様にセキュリティ課題を見つけた場合、あなたの協力は非常に重要です。

このポリシーの目的は、W3Cにおける標準の 脆弱性開示プロセスがどのように機能するかを説明することです。

W3C 文書に脆弱性を見つけたと思われる場合は、協調的 開示のため、standards-vulnerability@w3.orgに連絡してください。

このメールアドレスは、W3Cチームおよび関連グループで構成され、 脆弱性開示および対応を調整するよう指定されたグループによる評価と対応の基準点として機能します。

PGP鍵を使用して、standards-vulnerability@w3.org宛てに暗号化されたメッセージを送信することが推奨されます。このメールには 公開アーカイブはありません。

プロセスを円滑にするため、あなたのアドバイザリには、ISO/IEC 29147およびNIST SP 800-216で推奨される次のような詳細を含めるべきです:

• 脆弱性が存在する具体的な文書（例: そのタイトル、 安定URL、および 公開日）。
• 脆弱性の種類についての簡潔な説明（例: 安全でない 暗号 アルゴリズムの使用）。
• 脆弱性を再現する手順。理想的には、無害で非破壊的な概念実証。
• この脆弱性を悪用した場合の影響と、攻撃 シナリオでどのように利用され得るか。
• 提案される是正措置または緩和策（もしあれば）。
• あなたの連絡先情報（任意。匿名報告を可能にするためですが、フォローアップの 確認に役立ちます）。

次の点に注意してください:

• 「バグ報奨金」はありません: W3Cは、報告された 脆弱性に対して「バグ報奨金」を支払いません。
• 機密性: このポリシーに関与する報告者および調整者は、 その任務の遂行において得られた情報およびデータの機密性を尊重します。特に、 知的財産権、機密の事業情報、ならびに公共および国家の安全保障上の 利益に関するものについてです。 機微な脆弱性情報は、リスクを最小限に抑えるため機密に伝達されるべきです。
• 研究者の保護: W3Cは、 善意のセキュリティ研究の重要性を認識しています。W3Cは、 脆弱性研究者が直面する課題を認め、その活動について 情報セキュリティ研究者への不訴追に関する情報および民事責任からの免除を提供します。この ポリシーは、一般的な脆弱性の責任ある開示の優良慣行と整合するよう設計されており、 適用法と矛盾する方法で行動することを 認めるものではありません。

受領後、セキュリティ課題は3営業日以内に確認応答され、 報告者との 連絡チャネルが確立されます。

確認応答後、セキュリティ課題は、その妥当性、技術的な 重大性、 重要度、および潜在的な影響を判断するために評価されます。

W3Cは、課題の妥当性を検証し、 15営業日以内に報告者へ通知することを目標とします。 セキュリティ課題を検証するために追加情報が必要な場合、W3Cは情報源に追加の詳細を求めます。

アドバイザリは、それが参照する文書の種類に応じて処理されます。

W3Cはその後、報告者および セキュリティ課題の影響を受けるグループと協力します。これは 主に関連文書の更新を伴います。

更新が利用可能になり、関連技術の更新および リリースを実装するために十分な時間が確保された後、 W3Cは、修正済み 脆弱性に関する情報の共有および公開開示を奨励します。これには、 脆弱性の説明、利用者が 影響を受ける標準を特定できる情報、影響、その深刻度、および 実装者と 利用者が是正するのに役立つ明確でアクセシブルな情報が含まれます。場合によっては、 公開によるセキュリティリスクがセキュリティ上の利益を上回る場合、 実装者および利用者が関連する 対策を適用する機会を得た後まで、開示が 遅らされることがあります。

W3Cは、脆弱性が解決された後にあなたの報告を 開示する要請を歓迎し、 公開発表を調整することを目指します。報告者が公に認められることを望む場合、W3Cは、報告者が公にクレジットされることを望むことを条件として、 脆弱性を報告したことについて謝意を示します。