Eduardo A. Vela Nava(或sirdarckcat在Github和Twitter 上)通常被称为 Eduardo Vela,自 2010 年以来一直是 Google 的安全工程师。(他目前担任产品安全响应团队负责人)。
作为他之前的其他安全专家,他思考了如何将网站漏洞奖励计划的细节有效地传达给白帽黑客/渗透测试者的问题。
一个具体的这样的人是Chema Alonso(也在Twitter 上)。
他的知名度足以保证西班牙维基百科条目
2005 年至 2011 年间,Alonso连续 6 年被授予 Microsoft 企业安全最有价值专业奖。这应该告诉你一些关于他的“技能”的事情。
2011 年 2 月 3 日,阿隆索写了一篇关于他对网站管理员和/或开发人员与黑客之间交流话题的不满。
他提出了一项与黑客类似的倡议humans.txt
。hackers.txt
正如他在博客文章中提到的那样。
2011 年 4 月,humanstxt.org 网站有了一个新设计,其中包括提及该hackers.txt
文件的图像。
在这一点上,我必须遗憾地屈服于猜想,但是……考虑一下:
想象他们了解彼此的努力是否会如此遥远?
2014 年 5 月 14 日,已经在 Google 工作的 Vela对 Alonso 的一篇博文发表了评论。他们很可能在专业环境中进行了进一步的接触。他们是否广泛地分享了他们关于任何相关事物的想法hackers.txt
是未知的。
2017 年 7 月 6 日,Vela 在推特上发布了这样一个问题:
我们如何创建一个 /hackers.txt 来说明某事是否在漏洞奖励计划的范围内以及在哪里报告?
随后,在 github 上为hackerstxt.org 创建了一个空的 git 存储库,
并在 Google Groups 上打开了一个电子邮件线程以进一步讨论这个想法。
2017 年 8 月 13 日,Edwin Foudil(或EdOverflow在Github和Twitter 上)在security.txt
Github上创建了一个 git 存储库并回复了邮件列表:
我已经发布了一个与本小组讨论的项目类似的项目 (https://github.com/EdOverflow/security-txt),并且很想得到您的一些反馈和想法。
该项目相当于 robots.txt,但用于定义安全策略。公司可以将 security.txt 添加到他们的网站,并为安全研究人员在发现安全问题时必须执行的操作定义明确的指导方针。security.txt 还允许漏洞赏金计划在那里添加它们的范围。security.txt 使用与 robots.txt 类似的语法,这应该使机器更容易解析。
他的部分灵感来自他当时正在从事的一个名为GratiPay的开源项目。GratiPay自 2013 年以来就有一个SECURITY.txt
文件。
他的灵感还来自SECURITY.md
越来越多的开源项目添加到其存储库中的文件。
2017 年 9 月 10 日,Foudil 向Internet工程任务组提交了初稿security.txt
。
2017 年 9 月 14 日, Alonso 写了一篇博客文章,标题为(翻译自西班牙语)“Security.TXT an IETF draft for my Hackers.TXT”。
除了标题之外,阿隆索并没有提到他 2011 年的想法是草案的起源,但他确实表示了他对这项努力的认可。
2018 年 2 月 3 日,邮件组被告知要让步,security.txt
而 Vela 在推特上说谷歌已经实施了一项。
更多的信息
可以在
https://securitytxt.org/找到详细信息和生成自己的漂亮工具security.txt
收养
尽管 RFC 仍处于草案阶段,但该标准已被网络上的主要参与者很好地采用。
除了Google 的 security.txt之外,在以下网站上也有一个:
(如果您发现'm,请随时从知名网站添加更多内容)