如果你在一家科技公司的硬件或软件中发现了一个主要的安全漏洞，你能做的最好的就是伸出手来，希望你能得到响应。
如果你没有得到回应，你最终会像格兰特·托马斯，一个14岁的男孩，他在苹果（Apple）FaceTime网络电话应用程序中发现了严重的隐私缺陷，并试图和他的母亲一起警告iPhone制造商。
不过，尽管苹果公司在周四之前还没有修补程序，但该公司的Fields Security报告却比许多公司都要好，尽管它可能会指出并嘲笑苹果公司的失败。
与此同时，许多急于在一个或另一个家用电器中安装芯片的公司还没有采取第一步，为安全研究人员或个人客户提供任何明确的渠道，让他们了解漏洞。
然而，当你发现自己的弱点时，有一些方法可以让你与众不同。它可以给你额外的现金。
零日九天
亚利桑那州图森市的一名高中新生汤普森在一场为期两周的游戏前试图给一个朋友添加一个通话组时发现了FaceTime错误，他意识到朋友的麦克风在没有他接听的情况下就已通电了。
苹果公司在product-security@apple.com上为安全研究人员提供了一个专用的电子邮件地址，但它没有在公司的客户支持页面上列出。因此汤普森的母亲米歇尔试图引起公司@applesupport twitter账户的关注，最终她自己在twitter上发布了这个消息。
在发现后的九天，苹果通过停用FaceTime来回应。该公司周四发布了iOS和MacOS的补丁。此后，苹果公司选择向汤普森支付一笔臭虫奖金，作为对汤普森教育的贡献，但也未具体说明。
（bug奖励是由公司支付给秘密向其报告漏洞的研究人员的奖励，通常是现金）。根据“Vuln”的严重程度，它们的起价不到200美元，可以攀升到数万美元；安全公司Hacker One的一项研究发现，去年关键问题的奖金超过了2000美元。）
一切看起来都很糟糕。周二，众议院能源和商业委员会成员代表。Frank Pallone，Jr.（D-N.J.）和Jan Schakowsky（D-IL.）给苹果首席执行官Tim Cook发了一封信，信中说：“我们不认为苹果已经像这个严重问题所要求的那样透明。”
但从安全研究人员的角度来看，它看起来也像是最坏的情况，即有人发现了一个漏洞，然后只试图将其报告给客户支持联系人，而这些联系人没有经过足够的培训，无法将问题升级到安全团队。
Luta Security的首席执行官凯蒂•穆索里斯（Katie Moussouris）2010年为微软（Microsoft）创建了漏洞披露计划，她说：“有人发现了类似的东西，但还不知道该去哪个渠道，这是很不寻常的。”她引用的另一个例子是2014年一个5岁的孩子在微软Xbox Live服务中遇到登录错误的案例。
她说：“我认为我们需要在这个问题上给苹果打个B-，因为这是早期的摸索。”
其他地方的问题更严重
当你不再关注苹果、谷歌（Google）、谷歌（Google）和微软（Microsoft）等公司时，事情会变得更加可怕。
穆苏瑞斯发现，只有6%的福布斯全球2000年上市公司有专门的安全报告渠道，这是由网络搜索和“真正在他们的网页上搜索”决定的，这是你对典型消费者的期望。
上个月，在消费电子展（CES）上，两个比较知名的家用电器供应商科勒（Kohler）和惠而浦（Whirlpool）就是这样。这两个网站都没有列出一种方法来标记他们的智能烤箱或连接厕所的假想故障，让买家希望客户服务代表能够适当地传送他们的报告。
惠而浦的一位公关说他们会这样做，建议客户拨打866-698-2538，并建议安全研究人员电邮media@whirlpool.com。科勒的一位公关没有回复周二发送的一封电子邮件。
许多接受脆弱性报告的公司也无法正确处理它们。在一个值得纪念的2018年案例中，谷歌安全研究人员娜塔莉•席尔瓦诺维奇（Natalie Silvanovich）试图将其Galaxy S7边缘手机上的一个漏洞通知三星，但却被转发到一系列韩文提供的保密协议中。一周后，西尔瓦诺维奇与她认识的三星诺克斯安全团队的人取得了联系，后者向她指出了一个几乎没有广告的电子邮件地址。三星已经修复了这个过程。
安全公司Securosis的首席执行官Rich Mogull在电子邮件中解释说：“没有人喜欢外部压力，而且很少有此类公司有良好的流程来处理此类事件。”
来自https://finance.yahoo.com/news/this-is-what-may-be-spooking-investors-in-googles-earth-224844494.html
