Кто будет этот workflow поддерживать?

Кроме этого, я не понимаю, что это даёт по сравнению с текущей ситуацией.

Ключевое слово в данном контексте не решает никаких проблем кроме, быть может, обратной совместимости с предыдущим workflow.  Максимум -- возможность свободной подвески на другие ошибки, (не связанные зависимостями с security) -- но опять только теми, у кого editbugs.

Возможно, надо сделать шаг назад и описать задачу.  Например

 "Пользователь, считающий что столкнулся с проблемой безопасности (найденной 
 самостоятельно или прочтенной уже с CVE) должен иметь возможность 
 зарегистрировать ошибку в b.a.o, автоматически привлечь к ней внимание 
 соответствующей рабочей группы, сделать ее до поры невидимой остальным и 
 облегчить эскалацию майнтейнером пакета в исходный продукт."

(В ответ на комментарий №1)
> Кто будет этот workflow поддерживать?

security-team@. Пока просто группа заинтересованных заниматься безопасностью в
ALT.

> 
> Кроме этого, я не понимаю, что это даёт по сравнению с текущей ситуацией.

Текущая ситуация - это отсутствие какой-либо информации о том, что происходит в
репозиториях ALT в плане безопасности. Какая-то работа ведётся, но она делается
молча и не охватывает всю пакетную базу.

Если вопрос зачем нужна сущность "продукт Security" и зачем нужен мета-баг, то
это очевидно: есть ошибка, которая может касаться пакетов в разных репозиториях
и может относиться к нескольким разным пакетам, разделяющие какой-то общий код,
в котором обнаружена ошибка. Чтобы собрать воедино все эти хвосты и нужен
мета-баг, который свяжет эти баги в одну связку.
Теперь достаточно одной ссылки и можно увидеть как была решена проблема и где.
Список мета-багов на продукт Security - это готовый список всех
решённых/нерешённых проблем с безопасностью в репозиториях ALT.

Тогда я жду заявлений кого-либо из Security Team (а кто в неё входит, кстати?), что им такое нужно и они будут этим заниматься.

Создать неиспользуемый продукт просто, но непонятно, зачем.

Я специалист ИБ только по основному месту работы, в этом смысле могу высказать свое экспертное мнение.
к Alt Linux отношения не имею.
В Open Source я не более чем специалист по функционалу Bugzilla.

По существу заявки: пока не вижу ничего кроме попытки заново изобрести SIRIOS. Или скажем Transifex (только в смысле модели, а не назначения)

В качестве альтернативного подхода -- могу предложить обсудить реализацию этого дела в bugzilla.mozilla.org, где работают несколько Security teams (Firefox, собсно Bugzilla...).  Где у вас подходящее место для обсуждения workflow -- не знаю

Вероятно, в районе sisyphus@lists.a.o

давайте обсудим.

изначально эту тему я поднял здесь: http://lists.altlinux.org/pipermail/security-team/2009-April/000908.html , где возникло предложение использовать для этих целей bugzilla, возможно адаптировать её соответствующим образом...

ping
Считает ли кто-нибудь целесообразным возобновить обсуждение вопроса о процессе работы над регистрацией и исправлением проблем безопасности в продуктах sisyphus? Или закрыть багу?

ping

Может быть, конечно, я вас не понял, но мне кажется, что мета-баги и тем более специальный продукт -- это лишняя сущность.  Если одинаковый уязвимый код присутствует в нескольких пакетах, что бывает относительно редко, то все равно на каждый из них хорошо бы повесить отдельный баг.

актуально или закрывать?

Закрывать

Закрываю