> Перевод даётся для удобства чтения. Нормативным является английский оригинал.

# Политика безопасности

## Охват

Мета-Вселенная есть **спецификация** с эталонной оснасткой. «Безопасность» здесь
означает две вещи:

1. **Безопасность спецификации** - изъян в стандарте, из-за которого
   соответствующую реализацию можно было бы атаковать (например пробел в
   [Модели безопасности](03-federation/Security-Model.md),
   [Модели доверия](03-federation/Trust-Model.md) или в правилах
   [Согласия и раскрытия](03-federation/Consent-and-Disclosure.md)).
2. **Безопасность оснастки** - изъян в эталонных инструментах в [`tools/`](tools/).

## Сообщение об уязвимости

Сообщайте, пожалуйста, приватно. **Не** заводите публичную задачу или pull
request по подозреваемой уязвимости.

- Напишите сопровождающим на **security@orkestron.ai** (или на адрес, указанный
  на странице предупреждений безопасности репозитория).
- Приложите: затронутый документ или инструмент, суть угрозы и - для вопросов по
  спецификации - к какой [угрозе Модели безопасности](03-federation/Security-Model.md)
  (T1-T10) это относится или что расширяет.

Мы стремимся подтверждать получение оперативно, согласовывать сроки раскрытия и
упоминать сообщивших, если они того желают.

## Разбор

Исправления безопасности спецификации проходят как **Корректирующие** запросы на
изменение с приоритетом и ясной запиской о миграции там, где меняется поведение.
Подтверждённые угрозы вносятся в таблицу угроз
[Модели безопасности](03-federation/Security-Model.md) и в
[Семантический набор тестов](tests/).