coordinated disclosure
termosegurançagovernança e risco
Relatar um defeito em privado, combinar um prazo, e publicar depois da correção - o meio-termo em que a área se acomodou entre divulgação total e silêncio.
O prazo é a parte que sustenta o resto, e existe porque, sem ele, o incentivo do fabricante é esperar para sempre. Ele também se apoia numa suposição que vale dizer: quem reportou provavelmente não é a única pessoa capaz de achar aquilo, então tempo sem correção é tempo que outra pessoa pode estar usando. A falha de DNS do Kaminsky é o caso de referência da boa versão - fabricantes concorrentes corrigindo no mesmo dia, detalhe publicado um mês depois - e é rara porque exigiu um pesquisador organizando gente que normalmente não coopera.
Também conhecido como: cvd