فيسبوك تحذر من التعليمات البرمجية الضعيفة
أعلنت شركة فيسبوك عن تغيير في السياسة من شأنه أن يجعل الشركة تخطر المطورين إذا وجدت ثغرة أمنية في التعليمات البرمجية الخاصة بهم.
وفي تدوينة تعلن التغيير، قالت فيسبوك: إنها قد تجد أحيانًا أخطاءً ونقاط ضعف خطيرة في التعليمات البرمجية الخاصة بالمطورين الخارجيين، وعندما يحدث ذلك، فإن أولويتها هي إصلاح هذه المشكلات، مع التأكد من إبلاغ الأشخاص المتأثرين بذلك حتى يتمكنوا من حماية أنفسهم من خلال نشر تصحيح أو تحديث لأنظمتهم.
وأخطرت فيسبوك المطورين الخارجيين سابقًا بنقاط الضعف، لكن تحول السياسة يقنن رسميًا سياسة الشركة تجاه الكشف عن الثغرات الأمنية.
وتسمح برامج الكشف عن نقاط الضعف للشركات بوضع قواعد للعثور على الأخطاء الأمنية والكشف عنها، كما تساعد هذه البرامج في توجيه الكشف عن الثغرات الأمنية ونشرها بمجرد إصلاح الخلل، وغالبًا ما تستخدم الشركات برنامج مكافأة للدفع للباحثين الذين يتبعون قواعد الإبلاغ والإفصاح الخاصة بالشركة.
وتعتمد فيسبوك، مثل العديد من شركات التكنولوجيا الأخرى، على الكثير من التعليمات البرمجية والمكتبات المفتوحة المصدر التابعة لجهات خارجية، ومن خلال جعل التغيير كتابيًا، فإن الشركة تضع إشعارًا لمطوري الجهات الخارجية إذا لم يصلحوا الثغرات الأمنية في الوقت المناسب.
وقالت فيسبوك: إنها عندما تجد ثغرة أمنية، فإنها ستمنح المطورين الخارجيين 21 يومًا للرد و 90 يومًا لإصلاح المشكلات، وهو إطار زمني مقبول على نطاق واسع للإبلاغ عن مشكلات الأمان ومعالجتها.
وتوضح الشركة أنها ستبذل جهدًا للعثور على جهة الاتصال الصحيحة للإبلاغ عن الثغرة الأمنية، من ضمنها إرسال رسائل خاصة بتقارير الأمان عبر البريد الإلكتروني أو تسجيل الأخطاء بدون تفاصيل سرية في أدوات تعقب الأخطاء أو تقديم بطاقات الدعم.
لكن الشركة قالت: إنها تحتفظ بالحق في الكشف عاجلًا إذا كان المتسللون يستغلون الثغرة بشكل نشط، أو تأخير الكشف عنها إذا تم الاتفاق على أن هناك حاجة إلى مزيد من الوقت لإصلاح المشكلة.
وقالت فيسبوك: إنها لن توقع بشكل عام اتفاقية عدم إفشاء (NDA) خاصة بالمسائل الأمنية التي تبلغ عنها.
وتركز السياسة الجديدة بشكل خاص على كيفية تعامل فيسبوك مع الكشف عن المشكلات في التعليمات البرمجية الخاصة بطرف خارجي.
وإذا وجد الباحثون ثغرة أمنية ضمن فيسبوك، أو داخل مجموعة التطبيقات الخاصة بها، فسيواصلون الإبلاغ عنها من خلال برنامج (Bug Bounty) الحالي.
وكجزء من تغيير السياسة، قالت فيسبوك: إنها ستكشف أيضًا عن نقاط الضعف بمجرد إصلاحها.
