Odpověď na názor

Ale ono se neco nezverejnuje i cilene. Mame tu i primo firmy, co se primo zivi tim ze prodavaji software krom jineho samotnym bezpecnostnim slozkam, jehoz cilem je se nekam prolomit... a to stoji na cem... inu, krom jineho i na nepublikovanych zranitelnostech. Jejich zajmem nebude o zjistenych zranitelnostech mluvit, notabene se zasazovat o jejich opravu. Kaprici si svuj rybnik nevypusti, zejo. Aneb ono dnes muze byt i byznysovym zajmem (i na te "lepsi" strane) zranitelnost nepublikovat vubec... a vydelat na te znalosti jinak. Proc by nekdo delal charitu, kdyz muze trhnout balik jinde.

Cela teze o zverejnovani zranitelnosti stoji na tom, ze vsichni okolo nas jsou ti hodni, kterym jde o nejake obecne blabo. Ale pak tu mame tuhle sedou zonu, ktera se tise prechazi. A ano, smluvni alibismus stylem "hlavne to mit na nekoho hodit" je sice (formalne) pekny, ale merit veci - tedy zda se citliva data do te Ciny (ne)dostanou to jaksi neresi. A problem roste geometrickou radou prave tim, jak software "kyne", kdy si kazdej s sebou tahne privatni sadu knihoven se kterymi to kdysi nekdo ubehal a od te doby se na to i tvurci boji sahnout.

A realita je takova, ze tu mame pruniky do infrastruktur, kde by clovek apriori ocekaval, ze to maji obednene dukladne - MZV, MVCR... je strasne fajn, ze urednik to alibisticky hodi na smluvniho dodavatele, mozna padne i nejaka ta smluvni pokuticka, ale utekly data uz ten Cinan vracet nebude, zeano :D