Основная идея проекта — формализация взаимодействия между внутренней ИБ и внешними исследователями, давая четкое указание как и куда направлять информацию об уязвимостях или проблемах безопасности. Формализация взаимодействия — серьезная проблема, не все сайты имеют программы bug bounty, или даже просто указывают контакты специалистов по безопасности. А попытки достучаться через службу поддержки и твиттер зачастую заканчиваются уверениями что «Все так и должно быть», и последующим игнорированием.

Конечно, это будет работать только если компания, размещающая информацию в security.txt, готова проверять и своевременно реагировать на информацию, полученную через этот канал.



Разработка стандарта ведется с августа 2017 года, пока еще это только интернет проект (Internet Draft) и ему не назначен свой номер RFC. Несмотря на это, им уже пользуются несколько крупных компаний таких как Google, Dropbox, Pixiv. В рунете у меня получилось найти Goloslogos, Чистую Линию, Top Deck, и Drive2.

В security.txt предлагается указывать следующую информацию:

• Способ связаться: ссылка на форму обратной связи, программу bug bounty или почтовый адрес (это единственный обязательный пункт)
• Публичный ключ PGP: для шифрования чувствительной информации
• Ссылку на Hall of Fame: для выражения признательности
• Языки для связи: возможно указать несколько
• Ссылку на сам security.txt: необходима для проверки подлинности, если вы заверили его цифровой подписью
• Ссылку на политику безопасности: если она есть у вашего ресурса
• Ссылку на вакансии: если вы ищете специалистов по безопасности

Помочь с генерацией файла в правильном формате может форма на официальном сайте.

Ссылки:

> Официальный сайт
> Текст проекта на IETF
> Гитхаб проекта