इस सप्ताह से, हम शीर्ष सुरक्षा शोधकर्ताओं को संपर्क करेंगे ताकि उनसे कुछ महत्वपूर्ण प्रश्न पूछ सकें और उनके दृष्टिकोण यहाँ साझा कर सकें। इस सप्ताह, मैंने @gowtham_ponnana, एक सीनियर सुरक्षा शोधकर्ता, जिन्होंने सुरक्षा टीमों का नेतृत्व किया है और एक CEX के लिए सुरक्षा सेवाओं के प्रमुख के रूप में काम किया है, से संपर्क किया और पूछा: एक ऑडिट के बाद प्रोटोकॉल को क्या करना चाहिए, जो अधिकांश टीमें अभी भी नज़रअंदाज़ कर देती हैं? यहाँ उनका कहना है: "टीमों द्वारा सबसे आम और दोहराया जाने वाला मुद्दा यह है कि: वे तुरंत इसे प्रोडक्शन में प्रक्षेपित कर देते हैं। लेकिन मैं अपनी टीम या मेरे क्लाइंट्स को यही कहता हूँ - एक ऑडिट के बाद, पीछे बैठकर शोधकर्ताओं से किसी विशिष्ट कार्यान्वयन या विचार के बारे में जाँच करें। अधिकांश सुरक्षा शोधकर्ता इसे करना पसंद करेंगे। महत्वपूर्ण रूप से, उन्हें डिप्लॉयमेंट स्क्रिप्ट्स (या बेहतर होगा, उनसे उन्हें लिखवाएँ) देखने दें और प्रोटोकॉल के प्रोडक्शन में पहुँचने तक उनके साथ संपर्क में रहें। कई प्रोटोकॉल इसे मिस कर देते हैं। वे सिर्फ़ ऑडिट के बाद शोधकर्ताओं से बात करने से बचते हैं, जबकि प्रोडक्शन सामग्री पर केवल हल्का ही प्रभाव पड़ता है। शोधकर्ताओं के लिए - अंत में, सुनिश्चित करें कि प्रोडक्शन कोड 100% आपके द्वारा ऑडिट किए गए कोड के समान है। बेशक, OPSEC की कई और बातें हैं, लेकिन मुख्य बात है, मैं उनसे एक बग बंटी प्रोग्राम (कम से कम सेल्फ-होस्टेड) सेटअप करने को कहता हूँ। इससे आपको अच्छी प्रतिष्ठा मिलती है और सुरक्षा में सुधार होता है।" अपने दृष्टिकोण साझा करने के लिए, गोथम, धन्यवाद। मेरा कुछ हिस्सा: मेरी राय में, गोथम ने सब कुछ कवर कर लिया है। इसके अलावा, मैं हमारे क्लाइंट्स को सिर्फ़ हस्ताक्षरण के लिए, कुछ ही कामों के साथ, पृथक्‍त: वॉलेट्स और डिवाइसेस का प्रयोग करने की सलाह देता हूँ। मैं सुझाव देता हूँ कि कंटेनराइज़्ड परिवेश में काम किया जाए, और कभी भी काम को अपने प्राइवेट परिवेश के साथ मिलाया नहीं जाए।