国外0day项目的一些问答

1. 何时/如何可以注册？

ZDI 安全门户为 [url]https://www.zerodayinitiative.com/portal[/url]。如果您是安全供应商，认为有资格获得提前通知，则请联系我们（请参阅以下有关供应商资格鉴定问题）。

2. TippingPoint 是谁？

TippingPoint 在 2002 年启动了第一个防***系统。公司很快发展成为防***系统的领先提供商，为公司企业、政府部门、服务提供商和学术机构提供深入的应用程序、基础架构和性能保护。TippingPoint 创新性的手段为客户带来了无可比拟的网络安全，以及无人能及的经济性、超高性能、可扩展性和可靠性。

在主机型修复程序未应用或尚未由供应商开发出来前，TippingPoint 会提供"虚拟修复"功能来防护系统漏洞威胁。我们的安全研究团队会开发新的 Digital Vaccine® 保护过滤器来应对最新漏洞并立即分发到客户的防***系统。通过针对零时差项目所收集安全问题编写漏洞过滤器，我们可以在保持竞争优势的同时保护我们的客户并鼓励安全研究人员把研究发现带给公众。

TippingPoint 的目标是提供全世界最好的防***系统和安全保护网络基础架构。公司致力于在危机来临之前帮助客户防止或降低网络、服务、公司信息资产、计算机和专有信息面临的安全威胁，从而最大限度地减少网络和业务运营中断。

3. 为什么创立零时差项目(ZDI)？

一个关注未知漏洞的技术安全研究群体正日益壮大起来。我们相信获得这些数据的一种有效方式就是组建一个卓越的研究团体。

TippingPoint 设立零时差项目的目标就是为我们的客户提供世界上最好的防***系统和安全防护网络基础架构。为了实现目标，我们需要掌握最新最及时的安全信息。

ZDI 还将在如下方面进一步造福计算机用户、计算机技术供应商、企业和安全行业：

• 确保负责任地公布漏洞信息，使相应供应商得以有机会向最终用户发布解决方案/修复程序
• 通过向其他安全供应商提前通知，其客户会得到更快更有效的保护措施
• 使得 Internet 和技术社区对于计算机用户来说更加安全
• 给参与的安全研究人员给予应有的积极奖励
• 使 TippingPoint 能够为客户提供 0 日无耽误保护

4. 我为什么要把漏洞发现给 TippingPoint 而不是别人？

TippingPoint 已投入相当数量的资源来确保零时差项目成功。相信您会发现我们的奖励计划对于任何研究人员都是非常有利的。除了显而易见的更多奖励和更高奖金外，ZDI 对于购买漏洞信息的态度与目前任何项目都不同。在供应商发布修复程序之前，决不对外公布任何有关漏洞的技术细节。TippingPoint 编写并分发给其 IPS 客户的针对漏洞的任何保护过滤器都只包括很常见的说明并且经过加密以防反向工程。

5. 您是不是在鼓励我违反供应商产品的许可协议或其他条款？

绝对不是。ZDI 决不鼓励或怂恿违反任何供应商产品的许可协议或其它限制。不过，我们鼓励安全研究人员和其他发现漏洞的人士参与我们的项目，于私带来经济好处，于公给供应商、广大安全和最终用户群体带来好处。

6. 既然 TippingPoint 的客户在信息公开前就已得到保护，他们是否知道漏洞？

为了保证在产品供应商开发出修复程序前，研究人员发现的漏洞依然保密，TippingPoint 的客户只会得到有关所提供过滤器的一般性说明，而不是漏洞信息。等到与产品供应商一起公布相关细节后，TippingPoint Intrusion Prevention System 系统的 Digital Vaccine 服务将会提供一个更新说明，从而使客户认出曾经提供保护的相应过滤器。也就是说，TippingPoint 客户将先行一步得到漏洞防护，但却并不了解相关漏洞。

7. 你们为什么要把自己购买的漏洞信息提前告诉其他安全供应商，包括你们的竞争对手？

我们与其他安全供应商共享信息是为了充分利用我们掌握的信息。我们认为这种帮助保护我们自己客户以外客户的举措，使我们能够继续在客户面前保持竞争优势。

8. 哪些类型的安全供应商可以得到提前通知？何时/如何可以注册？

我们目前只向其他 IPS 供应商提供提前通知。为了保证有资格获得提前通知，安全供应商必须能够修补或提供漏洞保护解决方案，同时不向客户泄露漏洞细节。安全供应商的产品也必须能够防止反向工程造成漏洞信息泄露。

9. 安全供应商获得漏洞信息的步骤是怎样的？

安全供应商必须证明能够提供安全漏洞保护。还必须同意对原研究人员给予相应承认，并且在其过滤器/警报/数据库说明中提供指向 TippingPoints 原始 ZDI 咨询报告的链接。如果认为您的公司有资格并且愿意参加本项目，请联系我们 zdi [at] tippingpoint [dot] com。

10. 安全研究人员如何跟踪 ZDI 奖励积分和待定案例？

作为新研究人员签署加入 ZDI 项目后，您将会获得门户登录凭据。在 ZDI 网站上可以跟踪当前的奖励积分，查看所有待定案例的状态，并查看漏洞在供应商披露周期中的情况。

11. 在零时差项目奖励计划中，什么是 ZDI 奖励乘数？

奖励乘数对于屡有贡献的研究人员是一种附加的奖励。比如，如果具有 ZDI 白金状态并获得漏洞收入 $5,000，则会获得 $6,000（25% 奖励乘数）和 10,000 奖励积分（100% 奖励乘数）。

12. 我的漏洞报告需要采用哪种格式？

研究人员可以用任何形式提交漏洞信息（例如，验证示例代码，漏洞详细说明等）。如果需要更多详情，TippingPoint 安全研究人员将可能直接进行联系。

13. 我提交内容后，多久会得到报价？

核实时间有所不同，从几天到几个星期，具体取决于多种因素，比如目前等候处理的漏洞数量，核实过程的复杂程度以及获得并配置目标环境的难易程度。我们平均在两周内给予回复。

14. 如何进行付款？

TippingPoint 提供的支付方式有 西联汇款、银行电汇或邮寄支票。研究人员可以在注册 ZDI 门户并设置首选项时决定最适合自己的方式。

15. 我接受报价后，多久可收到付款？

根据您选择的付款方式（西联汇款、电汇或支票），可能需要两至三个星期。

16. 我可以发送多少漏洞报告？

对于漏洞报告的数量没有限制。

17. 我同意将漏洞信息转让给 TippingPoint 后，是否还允许我分发、转让或销售给别人，进行讨论或披露相关细节？

不允许。我们在漏洞信息上进行投入的原因是保证唯一排他并同时为了在供应商提供修复程序前保护所有最终用户，包括非 TippingPoint 客户。

18. 如果其他研究人员提交了同样的漏洞信息，我该怎么办？

有时我们会收到多位研究人员关于同一供应商产品的同一漏洞的信息。如果出现这种情况，第一位所提供信息可以被 ZDI 团队核实的研究人员将得到报酬（如果接受我们的报价）。其后提交同一漏洞的其他研究人员将不会得到。

19. 如果我分发、转让或销售给别人，进行讨论或披露相关细节，你们如何真的知道？

ZDI 项目的成功依赖于 TippingPoint 同 ZDI 研究人员间的相互信任。研究人员相信 TippingPoint 不会在双方达成协议前利用漏洞报告擅自行动。我们相信您将信息唯一排他地提供给我们。如果研究人员没有遵守排他原则，将会被禁止继续参与 ZDI。

20. 你们如何确保产品供应商会立即修复 TippingPoint 报告的漏洞？

TippingPoint 在向产品供应商报告安全漏洞时严格遵循其 漏洞保密政策。很显然，只有在相应产品供应商积极配合评估并解决所报缺陷的情况下，负责任地信息披露才能起到真正好的效果。TippingPoint 将尽最大努力与供应商合作以确保其理解所报告安全缺陷的技术细节和严重程度。如果产品供应商无法或选择不修补特定安全缺陷，TippingPoint 将愿意协助该供应商通过有效手段公开披露缺陷。任何情况下都不会因为供应商不想解决问题而将发现的漏洞"隐瞒不报"。

21. 你们联系供应商的整个通信过程能否让我完全知晓？

绝对可以。我们会在供应商披露方面让您清楚自己当前所有案例的进展情况。此信息可在 ZDI 门户中跟踪到。

22. 如果我是美国纳税人，我是否必须准备并发送 W-9 表单？

是的。如果您是美国公民（包括定居外国人），依据 IRS 纳税规定，在接收我们的付款前，您必须提供填写完整且签名的 W-9 表单。 单击此处获取空白 W-9 表单。

23. 我是否必须是美国居民才能参加？

不是。来自全球大多数国家/地区的人士均可参与 ZDI。如果由于所在国家/地区的原因而有参与困难，我们会在您申请过程中过予以提示并且 ZDI 团队将尽最大合法努力安排您参与。

24. 你们是否必须知道我是谁才能让我参加奖励计划？

是的。根据财务和税务报告规定，我们需要知道在向谁付款。从道德规范考虑，我们需要确保我们没有在与已知的恶意之徒或非法集团打交道。

25. 在你们/供应商通过咨询报告公布漏洞时如果我想保持匿名呢？

我们会按照您的希望，不向公共和/或供应商透露您的身份。