脆弱性開示ポリシーとは

ブロックチェーンのソフトウェアは公開されているため、脆弱性の情報がそのまま攻撃手順になります。そこで多くのプロジェクトは、まず非公開の窓口で報告を受け、修正版を用意し、ノード運営者への更新が十分に行き渡ってから内容を公表するという段取りを定めています。

報告者の側から見ると、ポリシーがあることは「報告しても法的に追及されない」という保証にもなります。逆にポリシーがない場合、善意で報告した人が不正アクセスとして扱われる懸念が残り、結果として脆弱性が公表されないまま放置されたり、闇市場に流れたりします。

利用者として確認できるのは、報告窓口が公開されているか、報奨金の範囲と対象が明示されているか、そして過去のインシデント後に事後報告が出されたかどうかです。何が起き、どう修正し、影響がどこまで及んだかを書いた報告書は、運用の質を測る具体的な材料になります。