2FASync
セキュリティ上の問題を報告する際に
認証用のサービスでは、報告に使うデータ自体が秘密を漏らさないようにする配慮が必要です。合成したテスト資料で再現できる範囲と安全な連絡方法を整理します。
本物の秘密や他人のデータを使わない
再現手順にはテスト用の架空アカウントと合成データを使い、実際のTOTP秘密、QR画像、復旧キー、セッショントークンを本文や添付に含めないでください。
他人の保管庫やサービスを無断で検査したり、アクセス範囲を広げたりしないでください。
確認に必要な範囲を簡潔に
発生箇所、影響、再現手順、期待した動作と実際の動作、ブラウザー環境を整理します。機密データなしでも初期の問題説明はできます。
連絡手段は2FASyncの公式画面で確認できるものだけを利用し、第三者が名乗る窓口へ秘密を送らないでください。
最初の連絡に必要な情報
どのページで、どの操作をした結果、何が起きたかを時系列で簡潔に記録します。ブラウザーとOSの種類、想定していた挙動も分かれば再現の手がかりになります。
実在する利用者の秘密やセッショントークンを添えなくても、合成したテスト用データで説明できることは多くあります。画像に表示された設定キーなどの秘密情報が残っていないかも確認してください。
調査範囲と連絡先を守る
発見の後に別人の保管庫へアクセスしたり、負荷をかけたりすることは避け、自分が権限を持つ範囲で停止してください。未確認のサポート担当を名乗る人に復旧キーを渡さないでください。
連絡窓口はサイトで実際に確認できる正式なものだけを利用します。実在しないメールアドレスや応答期限を推測して案内することはできません。