Coordinated vulnerability disclosure

الإفصاح المنسّق عن الثغرات (CVD)

كيفية الإبلاغ عن الثغرات الأمنية وتلقيها وتنسيقها، مع أمثلة على السياسات.

الإفصاح المنسّق عن الثغرات (Coordinated vulnerability disclosure، اختصاراً CVD) مصطلح في أمن الحاسوب. يصف كيف يمكن للناس تبادل التقارير عن المشكلات الأمنية. ومن الأمثلة تقارير الأخطاء، ومخاطر الاختراق، وتحذيرات القرصنة، وتسريبات البيانات، واختراقات المواقع الإلكترونية، وغير ذلك.

الترجمات: العربية, Български, বাংলা, Čeština, Cymraeg, Dansk, Deutsch, Ελληνικά, English, Español, Eesti, Euskara, فارسی, Suomi, Français, Gaeilge, Gàidhlig, ગુજરાતી, Hausa, עברית, हिन्दी, Hrvatski, Magyar, Bahasa Indonesia, Íslenska, Italiano, 日本語, 한국어, Lietuvių, Latviešu, Nederlands, Polski, Português, Română, Русский, Slovenčina, Slovenščina, Svenska, Kiswahili, ไทย, Türkçe, Українська, اردو, Tiếng Việt, 中文

المحتويات:

السياسات:

مقدمة

تشرح هذه الوثيقة الإفصاح المنسّق عن الثغرات بطرق قد تساعد الناس على العمل معاً.

أهداف الوثيقة:

  1. مساعدة الأشخاص الذين يكتشفون مشكلات أمنية ويريدون الإبلاغ عنها.

  2. مساعدة ممثلي الشركات على فهم احتياجات الإفصاح المسؤول وأهدافه وممارساته وحالاته الخاصة.

  3. تضمين أمثلة على سياسات الإفصاح المنسّق عن الثغرات في مجلد المستودع.

نرحّب بطلبات الدمج (pull requests) أو مشكلات GitHub أو الرسائل الإلكترونية إلى security@joelparkerhenderson.com.

ما هو الإفصاح المنسّق عن الثغرات؟

يصف الإفصاح المنسّق عن الثغرات ثلاث خطوات عندما يكتشف شخص ما مشكلة أمنية (مثل خطأ برمجي) ويريد الإبلاغ عنها إلى المنتِج (مثل الشركة التي تصنع البرنامج).

الخطوات:

  1. يبلّغ المكتشف المنتِجَ عن المشكلة سرّاً وبحسن نية.

  2. يحاول المنتِج بحسن نية حماية المستخدمين ومعالجة المشكلة.

  3. بعد مدة زمنية محددة، تُعلَن المشكلة الأمنية للعموم.

الخطوة 1: الإبلاغ عن المشكلة

الخطوة 1 على المكتشف: أن يبلّغ عن المشكلة سرّاً وبحسن نية.

  • جيد: يرسل المكتشف المعلومات ذات الصلة إلى المنتِج، مثل إرسالها بالبريد الإلكتروني إلى عنوان الأمان الخاص بالمنتِج (عادةً "security@example.com") أو عبر نموذج على موقع المنتِج (عادةً "https://www.example.com/security").

  • سيئ: نشر التقرير على مدونة عامة، أو تنبيه وسائل الإعلام، أو التهديد، أو محاولة بيع المشكلة الأمنية للقراصنة، وغير ذلك.

  • نصيحة: يمكن للمكتشف أن يختار البقاء مجهولاً؛ ويمكن للمنتِج أيضاً أن يختار البقاء مجهولاً.

إن رغبت، فاستمر في متابعة المشكلة.

  • جيد: فتح قنوات التواصل، أو تقديم معلومات متابعة، أو مراقبة الوضع.

  • سيئ: نسيان المشكلة.

  • نصيحة: يمكن للمكتشف أن يختار المساعدة أو عدمها، وأن يختار التواصل أو عدمه، وأن يغيّر الترتيب إذا تغيّرت الظروف.

إن رغبت، فأفصح عن المشكلة للآخرين.

  • جيد: الانتظار للمدة المحددة ثم الإعلان للعموم، مثل نشر المعلومات ذات الصلة على موقع أخبار أمنية، أو الاتصال بباحثين أمنيين من أطراف ثالثة معنيّين، أو الإعلان عن المشكلة على أي موقع تواصل اجتماعي عام، وغير ذلك.

  • سيئ: عدم الإفصاح عن المشكلة للآخرين، إلا إذا رأيت أن ذلك سيسبب مخاطر أكبر من القدر المماثل عليك أو على غيرك.

  • نصيحة: إذا تغيّرت الظروف، كاكتشاف خطر أكبر أو استغلال نشط في العالم الحقيقي، فيمكن للمكتشف أن يفصح عن المشكلة للآخرين في وقت أبكر.

الخطوة 2: ضمان قنوات الاتصال

الخطوة 2 على المنتِج: ضمان أن قنوات الاتصال قابلة للاستخدام.

  • جيد: ينشر المنتِج عنوان بريد إلكتروني للتواصل الأمني (حسب العُرف "security@example.com") ويُفضَّل أن يوفّر مفتاح تشفير للبريد الآمن.

  • جيد: ينشر المنتِج صفحة ويب للتواصل الأمني (حسب العُرف "https://www.example.com/security") ويُفضَّل أن يجعل الصفحة سهلة الاكتشاف، مثل عبر تذييل الموقع وخريطة الموقع والبحث.

  • سيئ: لا يوفّر المنتِج عنوان بريد إلكتروني أو صفحة ويب، أو لا يجعلهما سهلَي الاكتشاف.

اضمن قدرات الموظفين.

  • جيد: يدرّب المنتِج موظفي الدعم على ما يجب فعله عند تلقّي استفسار أمني، مثل كيفية الرد بمعلومات الاتصال، أو كيفية تحويل الاستفسار إلى الفريق الداخلي المناسب.

  • جيد: يتحقق المنتِج دورياً من أن قدرات الموظفين تعمل.

  • سيئ: لا يدرّب المنتِج أو لا يتحقق.

ردّ على المكتشف ضمن الإطار الزمني.

  • إذا لم يحدد المكتشف إطاراً زمنياً، فاستخدم يوم عمل واحداً، لأنه المعيار الصناعي وأفضل الممارسات الحالية في المجال.

  • إذا طرح المكتشف أسئلة، فأجب عنها. وهذا مهم بوجه خاص إذا طلب المكتشف إذناً بالاختبار. تأكد من أن جميع الإجابات واضحة ومباشرة.

ردّ على المكتشف عبر جهة اتصال أمنية مخوّلة و/أو عملية أمنية مخوّلة.

  • جيد: ردّ من عنوان بريد إلكتروني خاص بالأمان، مثل "security@example.com".

  • على سبيل المثال، هذا سيئ: ردّ من عنوان بريد إلكتروني عام الغرض، مثل "help@example.com"، أو من شخص ليس متخصصاً أمنياً مخوّلاً.

أبلغ المكتشف بأن المشكلة معترف بها كتقرير أمني.

  • جيد: صياغة خاصة بالأمان، مثل "لقد تلقّى فريقنا الأمني تقرير الإفصاح المسؤول الخاص بك"، أو "تتضمن عمليتنا الأمنية الخطوات التالية"، أو "معلوماتك الآن في متتبّع الأمان لدينا برقم تعريف XYZ"، وغير ذلك.

  • سيئ: صياغة عامة الغرض، مثل "نقدّر تعاملك معنا"، أو "نأخذ الأمان على محمل الجد"، أو صياغة تلقي المسؤولية على غيرك مثل "أرسلنا بريدك إلى قسم آخر"، وغير ذلك.

الخطوة 3: العمل بحسن نية

الخطوة 3 على المكتشف والمنتِج معاً: العمل بحسن نية.

افهم أن الإفصاح المنسّق عن الثغرات يصف عملية قائمة على حسن النية.

  • الهدف رقم 1 هو حسن النية في مساعدة المستخدمين على حماية أنفسهم من المخاطر الأمنية.

  • الهدف رقم 2 هو حسن النية في معالجة المشكلة الأمنية.

  • يمكن للمكتشف و/أو المنتِج أن يختارا بحسن نية إشراك أشخاص أمنيين آخرين، مثل الاتصال بباحثين أمنيين معنيّين آخرين للمساعدة في المشكلة.

افهم أن الإفصاح المنسّق عن الثغرات لا ينشئ أي التزام.

  • يمكن للمكتشف و/أو المنتِج الانسحاب في أي وقت ولأي سبب، بإنذار أو بدونه. من اللباقة إبقاء جميع المعنيّين على اطلاع وتحديث، لكن ذلك لا يكون ممكناً أو عملياً أو مرغوباً دائماً.

  • لا ينشئ الإفصاح المنسّق عن الثغرات أي اتفاق قانوني. إذا كان بين المكتشف والمنتِج اتفاق قانوني بالفعل، فنقترح أن يستشير جميع المعنيّين المحامين المناسبين؛ ولا تستخدم هذه الوثيقة بوصفها استشارة قانونية.

افهم أن الإفصاح المنسّق عن الثغرات يهدف إلى استخدام تواصل جيد ورفض التهديدات.

  • يكون الإفصاح المنسّق عن الثغرات في أفضل حالاته عندما يفهم جميع المعنيّين أن الهدف رقم 1 هو مساعدة المستخدمين على حماية أنفسهم من المخاطر الأمنية، والهدف رقم 2 هو معالجة المشكلة الأمنية.

  • يرفض الإفصاح المنسّق عن الثغرات أي نوع من التهديد بالانتقام أو الترهيب أو الإيقاف أو الإلغاء أو الابتزاز أو عبء المتابعة أو لوم الضحية.

افهم أن الإفصاح المنسّق عن الثغرات قد يعني أشياء مختلفة لأشخاص مختلفين.

  • قد يكون لدى المكتشف والمنتِج فهم مختلف للإفصاح المنسّق عن الثغرات. وقد لا تتطابق هذه الفهوم مع بعضها. ويشمل حسن النية أن يفهم جميع المعنيّين ذلك.

  • ينشر بعض المنتِجين سياسات للإفصاح المنسّق عن الثغرات. ويمكن أن تكون هذه إرشادات مفيدة. وإذا اختار المكتشف نوعاً مختلفاً من الإفصاح المنسّق عن الثغرات، أو كان لديه فهم مختلف للإفصاح المسؤول، فهذا مقبول تماماً.

افهم أن المكتشف عادةً يقدّم خدمة للناشر.

  • عادةً لا يحتاج المكتشف إلى إذن أحد لنشر الثغرات.

  • عادةً تفيد معلومات المكتشف الناشر.

التحقق من النجاح

بعد حلّ المشكلة، يجب على المنتِج التحقق من النجاح.

  • هل تعامل جميع الأشخاص والعمليات مع الإفصاح بنجاح؟ إن كان كذلك فجيد. وإن لم يكن، ففكّر في إجراء بحث لاحق، مثل تحليل السبب الجذري (RCA)، أو تقارير ما بعد الحادث، أو مخططات إيشيكاوا، أو التحليل السببي القائم على نظرية النظم (CAST).

  • هل المسائل العالقة مصنَّفة ومتتبَّعة؟

  • هل يفهم المنتِج والمكتشف كلاهما ما يجب فعله في أي خطوات تالية؟ وهذا مهم بوجه خاص لإتقانه تحسباً لأي إفصاحات منسّقة لاحقة عن الثغرات.

إرشادات

يمكن أن تأتي إرشادات الإفصاح المنسّق عن الثغرات من مجالات كثيرة، مثل خبراء الأخلاقيات، والمدافعين القانونيين، وتوقعات عامة الناس المعقولة، وغير ذلك.

إن كنت تبحث عن إرشادات، فقد تهتم بهذه المجالات الثلاثة، وكلها موصوفة أدناه.

  • السامري الصالح

  • واجب الإنقاذ

  • واجب العناية

السامري الصالح

ويكيبيديا: قانون السامري الصالح

توفّر قوانين السامري الصالح حماية قانونية للأشخاص الذين يقدّمون مساعدة معقولة لمن هم، أو يعتقدون أنهم، مصابون أو مرضى أو في خطر أو عاجزون بطريقة أخرى. والغرض من الحماية تقليل تردد المارّة في المساعدة خوفاً من رفع دعوى عليهم أو ملاحقتهم قضائياً.

واجب الإنقاذ

ويكيبيديا: واجب الإنقاذ

واجب الإنقاذ مفهوم يصف ظرفاً يمكن فيه تحميل طرف المسؤولية عن عدم الإقدام على إنقاذ طرف آخر في خطر. وقد يكون لواجب الإنقاذ جوانب أخلاقية و/أو قانونية.

واجب العناية

ويكيبيديا: واجب العناية

واجب العناية هو التزام بمعيار العناية المعقولة أثناء القيام بأي أفعال يمكن أن تضر الآخرين بشكل متوقَّع. وقد يكون لواجب العناية جوانب أخلاقية و/أو قانونية. ومن الجوانب التي ينبغي النظر فيها: قابلية توقّع الضرر أو الإصابة، والحجم المحتمل للضرر أو الإصابة المحتملة، وأهمية النشاط الذي يقوم به المدّعى عليه أو قيمته الاجتماعية، وفائدة السلوك للمدّعى عليه، وإمكانية السلوك البديل، والتكاليف والأعباء المرتبطة بالسلوك البديل، والفائدة النسبية للسلوك البديل، والسلامة النسبية للسلوك البديل.

حالات خاصة

رأت فرقنا الأمنية مجموعة واسعة من الحالات الخاصة.

نصفها هنا لمساعدة الناس على فهم المواضع التي توجد فيها آراء متباينة بشأن ما قد يكون مقبولاً وما قد لا يكون. ونوصي بأن يتواصل جميع المعنيّين بحسن نية بشأنها.

الوصول إلى معلومات مستخدمين آخرين

مثال: تكتشف أن عنوان URL يحتوي على معرّف المستخدم الخاص بك ويكشف خطأً، وتعتقد أنه يمكنك تعديل عنوان URL لتغيير معرّف المستخدم الخاص بك إلى معرّف مستخدم مختلف.

  • هل من المقبول أن يفعل المكتشف ذلك، مثلاً بهدف وحيد هو معرفة ما إذا كان يؤثر على مستخدمين آخرين أيضاً؟

  • هل فهم اتساع الخطر على جميع المستخدمين بسرعة أهم من حماية بضعة مستخدمين قد تكون معلوماتهم ظاهرة بالفعل للقراصنة؟

  • هل من المقبول أن يفعل المكتشف ذلك مع أي عدد يريده من المستخدمين؟

  • هل من المقبول أن يحاول المكتشف الاتصال بالمستخدمين ليخبرهم بأنهم متأثرون؟ وهل من المقبول تقديم اقتراحات للتخفيف؟

حجب الخدمة

مثال: تكتشف خطأً يعلّق حسابك عن غير قصد، مثل تفعيل قفل كلمة المرور.

  • هل يُعدّ هذا هجوم حجب خدمة؟

البريد الإلكتروني غير المرغوب فيه

مثال: تحاول الإبلاغ عن مشكلة أمنية إلى أشخاص في الشركة ترى أنهم معنيّون، وتصل إليهم بالبحث على LinkedIn وFacebook وغيرهما، أو باستخدام اصطلاحات التسمية مثل "webmaster@example.com" أو "security@example.com".

  • هل هذا مقبول؟

  • هل يُعدّ هذا بريداً إلكترونياً غير مرغوب فيه؟

  • هل يُعدّ هذا بريداً إلكترونياً غير مصرَّح به؟

الفئات المستثناة

مثال: أنت في فئة مستثناة، مثل أن تكون قاصراً، أو على قائمة عقوبات، أو في بلد على قائمة عقوبات.

  • هل من المقبول أن تقدّم تقريراً؟

  • هل من المقبول الإبلاغ بشكل مجهول؟

  • هل من المقبول تغيير معلومات قد تحدد الهوية عمداً، مثلاً للإفلات من الفئة المستثناة، وبهدف مساعدة الإفصاح على الوصول إلى الأشخاص المناسبين؟

الأطراف الثالثة

مثال: تكتشف أن في برنامج شركة ما خطأً يتعلق بطرف ثالث، مثل تكامل مع برنامج آخر أو موقع آخر.

  • هل من المقبول أن تبلّغ عن كل المعلومات التي تجدها إلى الطرفين؟

  • هل من الضروري إجراء إفصاحين مسؤولين مختلفين، مثل تقرير إلى شركة وتقرير مختلف إلى شركة الطرف الثالث، بهدف الحد من المعلومات المرسلة إلى كل شركة؟

  • هل من المقبول أن يربط المكتشف الشركتين ببعضهما؟

البرمجيات المُعطِّلة

مثال: أنت ماهر بما يكفي لكتابة فيروس تعتقد أنه من المرجّح أن يساعد المستخدمين على حماية أنفسهم من الخطر الأمني، أو على معرفة ما إذا كانوا معرّضين للخطر، أو على إصلاح الخطر الأمني.

  • هل هذا مقبول؟

  • هل من المقبول أن يوجّه المكتشف المستخدمين إلى برمجيات كهذه و/أو إلى أدلة أو دروس تشرح كيفية إنشاء هذا النوع من البرمجيات؟

الإفصاح المنسّق عن الثغرات مقابل الإفصاح المسؤول

الإفصاح المنسّق عن الثغرات هو المصطلح المفضَّل.

  • أهم جانب هو التنسيق بين المكتشف والمنتِج.

الإفصاح المسؤول مصطلح متروك.

  • للناس آراء مختلفة بشأن ما يعنيه أن تكون مسؤولاً. فمثلاً يرى بعض الناس أنه من المسؤول أن يُخطر المكتشف الجمهور فوراً بغض النظر عن أي تفاعل مع المنتِج، وأنه من غير المسؤول إجراء إفصاح منسّق عن الثغرات لأنه يُخفي المعلومات عن الجمهور.

التتبع