Никеш описал практику ответственного раскрытия уязвимостей

При обнаружении уязвимости исследователь, по словам Никеша, должен сначала сообщить владельцу затронутого кода или продукта, чтобы тот мог проверить проблему и подготовить исправление. Он выступил против сторонних патчей, которые могут вызвать побочный ущерб, и описал несколько сценариев по сложности установки исправления.

В SaaS-сервисе поставщик обычно может сам развернуть исправление. Если исправление выпускается для программного обеспечения, которое устанавливают клиенты, им нужно самостоятельно принять и внедрить патч, поэтому не все уязвимые системы будут исправлены сразу. С аппаратным обеспечением процесс сложнее: патч нужно разработать, а клиентам — протестировать и установить его.

Далее, по описанию Никеша, исследователи уведомляют соответствующие государственные органы в зависимости от критичности проблемы, а затем информируют отрасль. В одном случае, о котором он рассказал, у участников было 48 часов, чтобы подготовить инструменты для распространения патчей. Никеш предупредил, что сроки реагирования сокращаются: в будущем на проверку и исправление может не остаться нескольких недель, а информация о крупной уязвимости может стать публичной практически сразу.