Het gebeurt soms wel eens dat ik een grote organisatie moet waarschuwen wegens een kwetsbaarheid in hun ICT-omgeving. Gelukkig bestaat er zoiets als een Responsible Disclosure policy die veel organisaties hebben uitgerold. De regels verschillen soms per organisatie, maar komt er veelal op neer dat je de gevonden kwetsbaarheden niet misbruikt via bepaalde technieken. Ook meldt je dit niet aan anderen, maar eerst aan de gedupeerde organisatie. Het melden doe je via versleutelde e-mail met PGP, waarbij er gebruik wordt gemaakt van asymmetrische cryptografie. Tot zover is er niets aan de hand, en vaak wordt op de website van de organisatie de publieke PGP-key afgedrukt. Het wordt natuurlijk wel lastig als je bepaalde ambtelijke Nederlandse organisaties tegenkomt die graag geïnformeerd willen worden via PGP-versleutelde mail, maar kennelijk niet weten dat je toch eerst zelf een PGP-sleutelpaar moet genereren. Ook een zoektocht op hun website levert geen publieke PGP-key op. Elk persoon of instantie heeft in de ...