Política de seguridad

Esta política puede estar traducida por miembros de la comunidad de Rust. Si hay algún conflicto entre la versión en inglés y la traducción, la primera tiene prioridad.

Informar

Escribe a security@rust-lang.org

Safety is one of the core principles of Rust, and to that end, we would like to ensure that Rust has a secure implementation. Thank you for taking the time to responsibly disclose any issues you find.

All security bugs in the Rust distribution should be reported by email to security@rust-lang.org. This list is delivered to a small security team. Your email will be acknowledged within 24 hours, and you’ll receive a more detailed response to your email within 48 hours indicating the next steps in handling your report. If you would like, you can encrypt your report using our public key. This key is also On MIT’s keyserver and reproduced below.

This email address receives a large amount of spam, so be sure to use a descriptive subject line to avoid having your report be missed. After the initial reply to your report, the security team will endeavor to keep you informed of the progress being made towards a fix and full announcement. As recommended by RFPolicy, these updates will be sent at least every five days. In reality, this is more likely to be every 24-48 hours.

If you have not received a reply to your email within 48 hours, or have not heard from the security team for the past five days, there are a few steps you can take (in order):

Contact both the security coordinators directly:
- Josh Stone
- Pietro Albini
Post on the internals forums

Please note that the discussion forums are public areas. When escalating in these venues, please do not discuss your issue. Simply say that you’re trying to get a hold of someone from the security team.

Escribe a security@rust-lang.org

Política de divulgación

El proyecto Rust tiene un proceso de divulgación de 5 pasos.

El informe de seguridad se recibe y se le asigna un gestor principal. Esta persona coordinará el proceso de reparación y lanzamiento.
El problema se confirma y se determina una lista de todas las versiones afectadas.
El código es auditado para encontrar otros problemas similares.
Se preparan soluciones para todas las versiones que aún están en mantenimiento. Estas correcciones no se integran con el repositorio público, sino que se mantienen localmente a la espera de ser anunciadas.
En la fecha de publicación, la lista de correo de seguridad de Rust recibe una copia del anuncio. Los cambios se integran en el repositorio público y las nuevas compilaciones se despliegan en rust-lang.org. Dentro de las 6 horas posteriores a la notificación en la lista de correo, se publicará una copia del aviso en el blog de Rust.

Este proceso puede llevar algún tiempo, especialmente cuando se requiere coordinación con los responsables de otros proyectos. Se hará todo lo posible para gestionar el error de la manera más oportuna posible, sin embargo, es importante que sigamos el proceso de publicación anterior para garantizar que la divulgación se lleve a cabo de manera coherente.

Recibir actualizaciones de seguridad

La mejor manera de recibir todos los anuncios de seguridad es suscribirse a la lista de correo de anuncios de seguridad de Rust (o como alternativa enviando un email a rustlang-security-announcements+subscribe@googlegroups.com). La lista de correo tiene muy poco tráfico y recibe las notificaciones públicas en el momento en que se levanta el embargo.

Anunciaremos vulnerabilidades 72 horas antes de que el embargo se levante a distros@openwall, de manera que las distribuciones de Linux puedan actualizar sus paquetes.

Clave PGP en texto plano