Det skulle vara en åsiktsfråga om hur du ska gå vidare. Vi har redan en fråga som förklarar olika etiska sätt att rapportera en sårbarhet.

För det första, för något så stort skulle jag personligen rekommendera att du förblir anonym först och lämnar ett sätt att senare bevisa att det verkligen var du som upptäckte sårbarheten. Skapa en helt ny PGP-nyckel (inte knuten till din identitet), underteckna dina meddelanden med den och publicera dem anonymt (via Tor till exempel). Om du senare känner dig säker på att allt är bra och det inte finns hundratals blodtörstiga advokater som kommer efter dig, kan du använda den nyckeln för att skriva ett meddelande om att det var du (med ditt fullständiga namn).

Jag rekommenderar ansvarsfull information: du kommer i kontakt med utvecklarna av säkerhetssystemet och lämnar dem lite tid att distribuera en patch.

Om du inte får något svar, ett dumt svar eller till och med horder av arga advokater som skäller på dig, använd bara din anonymitet för att bli offentlig och låta alla veta hur företaget hanterar säkerhetsfel.

Jag håller inte med om att avslöja en brist utan att tillhandahålla ett alternativ är en dålig idé. Den bristen kan redan vara känd för skurkarna och det är bättre att alla vet om det (och åtminstone kan veta att det inte är säkert) snarare än att låta skurkarna verkligen njuta av att använda den informationen. Även om det inte finns något alternativ nu kan denna upptäckt motivera någon att faktiskt göra ett säkert alternativ.

Slutligen, medan jag inte vet vilken typ av "säkerhetssystem" vi pratar om, säkerhet bör göras i lager och alla företag som förlitar sig på det systemet eftersom dess enda försvar förtjänar att gå ner, precis som de som inte bryr sig om att uppdatera när en fix blir tillgänglig.

Du vill verifiera att detta är en faktisk sårbarhet, vanligtvis genom att skapa ett Proof-of-Concept. Därifrån kan du:

• Kontakta leverantören av programvaran privat, förklara dina resultat och de problem som är förknippade med den, bifoga poC för dem att analysera.
• Släpp sårbarheten för allmänheten i hopp om att den extra uppmärksamheten kommer att övertala säljaren att släppa en fix.
• Var helt tyst om det och hoppas att blackhats inte hittar det.

Det första alternativet är förmodligen det bästa. Du behöver inte avslöja din personliga identitet för att släppa information. Jag har använt flera handtag och kasserade konton för sådan kommunikation under liknande omständigheter.

Det andra alternativet är riskabelt. Du riskerar allmän motreaktion ("Varför skulle de ge en öppen sårbarhet för de människor som skulle missbruka den?") Och du placerar dig själv och säljaren på en dålig plats. Medan vissa människor applåderar dina ansträngningar, kommer andra att se detta som ett problem.

Det tredje alternativet är ännu mer riskabelt. Om du har förmågan att skapa en poC, gör det också människorna med skadlig avsikt. Den enda skillnaden här är din beprövade Säkerhet genom obskärhet aka en riktigt dålig tid .

Din bästa insats är att börja med det första alternativet, falla tillbaka till det andra om du ignoreras helt. Jag har sett historier om människor som kontaktar säljare i flera månader, äntligen släppt sårbarheten för allmänheten och sedan sett en korrigeringsfil som behandlar problemet. I en idealisk värld tar leverantören detta på allvar och tar itu med problemet när du kontaktar dem. Om de inte försumar problemet eller finner att det inte är ett problem, kommer de att vara de bästa för att ta itu med det. Om de inte tar itu med det löper de den verkliga risken att bli nästa Java eller Flash aka helt otillförlitlig för allmänheten.

Det är vanligtvis dåligt för affärer.

Vill du ta kredit men vill inte bli känd? Det fungerar bara inte.
Bestäm vad som är viktigare: Kredit eller att göra sårbarheten känd anonymt.

Om det är viktigare att göra det känt ser jag att du har ett nytt konto etc., det är bra. (om det verkligen är så stort hoppas jag att du har ett nytt operativsystem på en ny enhet, ingen webbläsarprofil och Tor också. Om inte, börja nu är för sent.).
Som nästa steg, om du inte ens är säker på om det är en vuln, bara berätta för oss situationen här är en början.

Om delen "att inte berätta för att kunna utnyttjas": Om du är orolig för det, och din identitet, ser jag inget sätt att berätta det för någon. I det här fallet ... glöm det bara?

Thebluefish utelämnade att nämna "Responsible Disclosure" där en betrodd tredje part tillhandahåller en spärrtjänst under en begränsad tid, vilket gör det möjligt för säljaren att åtgärda felet samtidigt som upptäckaren krediteras. CERT sponsrar ett sådant tillvägagångssätt.

Men enligt föregående svar behöver du ett bevis på konceptet. Tyvärr introducerar "säkerhetsprodukter" oftare sårbarheter än vad de flesta yrkespersoner förväntar sig.