Sicherheitshinweise veröffentlichen (CSAF)

Der CRA verlangt, dass Sie Informationen über behobene Schwachstellen mit Ihren Nutzern teilen. In den kostenpflichtigen Tarifen gibt Provetry jedem Produkt eine öffentliche Sicherheitsseite mit seinen Hinweisen, in den Formaten, die Werkzeuge lesen.

1. Öffnen Sie beim Produkt Hinweise und öffentliche Seite.
2. Neuer Hinweis: Kennungen (CVE, GHSA …), betroffene Versionen, was Nutzer tun müssen, eine Umgehungslösung, falls vorhanden, eine Nennung mit Zustimmung der meldenden Person.
3. Speichern: Der Entwurf bleibt privat.
4. Neue Revision veröffentlichen, wenn er fertig ist. Spätere Änderungen werden zu neuen Revisionen; ein veröffentlichter Hinweis bleibt bestehen.
5. Seite öffnen, um die öffentliche Sicherheitsseite sichtbar zu machen.

Was veröffentlicht wird

• Die Hinweise als CSAF 2.0, mit OpenPGP signiert, mit den Provider-Metadaten, dem Index und den Hashwerten, die CSAF-Werkzeuge erwarten.
• Ein VEX-Feed (OpenVEX) der Schwachstellen, die Sie als nicht betroffen oder behoben bewertet haben: Status, Begründung und Komponente, nie Ihre Erläuterungen.
• Ein Link zu Ihrer Strategie für die koordinierte Offenlegung von Schwachstellen.

Hinweise werden auf Englisch verfasst, der Sprache der CSAF-Werkzeuge. Wenn Sie die Seite schließen, funktioniert die Adresse nicht mehr, bis Sie sie wieder öffnen.