Coordinated vulnerability disclosureCERT: سياسة الإفصاح عن الثغرات
- جهة الاتصال: ?
- الموقع: http://www.cert.org/vulnerability-analysis/vul-disclosure.cfm
- تاريخ التحقق: 2017-09-21
ستُفصَح الثغرات المُبلَّغ عنها إلى CERT/CC للجمهور بعد 45 يوماً من التقرير الأول، بصرف النظر عن وجود رقع أو حلول مؤقتة من الموردين المتضررين أو توافرها. وقد تؤدي ظروف مخفِّفة، مثل الاستغلال النشط، أو تهديدات ذات طبيعة بالغة الخطورة (أو تافهة)، أو حالات تتطلب تغييرات في معيار قائم، إلى إفصاح أبكر أو أبعد. وستتضمن إفصاحات CERT/CC نسبة الفضل إلى المبلِّغ ما لم يطلب المبلِّغ خلاف ذلك. وسنُعلم الموردين المتضررين بخطط النشر لدينا، ونتفاوض معهم على جداول نشر بديلة عند الحاجة.
هدف هذه السياسة هو الموازنة بين حاجة الجمهور إلى العلم بالثغرات الأمنية وحاجة الموردين إلى وقت للاستجابة بفعالية. وسيستند القرار النهائي بشأن جدول النشر إلى مصالح المجتمع ككل.
ستُحال الثغرات المُبلَّغ عنها إلينا إلى الموردين المتضررين في أقرب وقت ممكن عملياً بعد استلام التقرير. وسيُحال اسم المبلِّغ ومعلومات الاتصال به إلى الموردين المتضررين ما لم يطلب المبلِّغ خلاف ذلك. وسنُطلع المبلِّغ على التغييرات الجوهرية في حالة أي ثغرة أبلغ عنها بقدر الإمكان دون كشف معلومات قُدِّمت إلينا بسرية.
ستُفصَح الثغرات في مذكرات الثغرات (Vulnerability Notes).
ستُحال تقارير الثغرات الخاصة بمواقع حكومة الولايات المتحدة إلى US-CERT للتنسيق مع الحكومة.
الأسئلة الشائعة
س: هل يعني هذا أن CERT/CC يتجه إلى "الإفصاح الكامل"؟
ج: لن نوزّع برمجيات استغلال (exploits)، إن كان هذا ما يعنيه "الإفصاح الكامل". ففي خبرتنا، عدد من يمكنهم الاستفادة من توافر برمجيات الاستغلال قليل مقارنةً بعدد المتضررين ممن يستخدمونها بسوء نية. غير أننا سنفصح عن معلومات حول ثغرات ربما لم نكن لنفصح عنها من قبل. وفي حدود مواردنا، سننشر معلومات عن أكبر عدد ممكن من الثغرات.
س: لماذا ليس 30 يوماً، أو 15 يوماً، أو فوراً؟
ج: نعتقد أن 45 يوماً قد تكون مهلة صعبة إلى حد ما على مؤسسة كبيرة. وتقصيرها لن يساعد في حل المشكلة بشكل واقعي. وفي غياب دليل على الاستغلال، قد لا يكون الإعلان عن الثغرات دون مبرر في مصلحة السلامة العامة.
س: أليس من الأفضل إبقاء الثغرات طيَّ الكتمان إن لم يتوفر إصلاح؟
ج: تُكتشف الثغرات وتُفصَح بصورة روتينية، وكثيراً قبل أن تتاح للموردين فرصة عادلة لتقديم إصلاح، وغالباً ما يتضمن الإفصاح برمجيات استغلال عاملة. وفي خبرتنا، إن لم يكن هناك إفصاح مسؤول ومؤهَّل عن معلومات الثغرات، فكثيراً ما يشعر الباحثون والمبرمجون ومديرو النظم وغيرهم من مهنيي تقنية المعلومات الذين يكتشفون الثغرات بأنه لا خيار أمامهم سوى نشر المعلومات في محاولة لإجبار الموردين على معالجة المشكلة.
س: هل ستُفصَح جميع الثغرات خلال 45 يوماً؟
ج: لا. كثيراً ما تكون هناك ظروف تدفعنا إلى تعديل جدول النشر. فالتهديدات الخطيرة بوجه خاص أو التي لدينا دليل على استغلالها ستدفعنا على الأرجح إلى تقصير جدول الإصدار. أما التهديدات التي تتطلب تغييرات "صعبة" (تغييرات في المعايير، أو في المكونات الأساسية لنظام التشغيل) فستدفعنا إلى تمديد جدول النشر. وقد لا ننشر كل ثغرة يُبلَّغ عنها إلينا.
س: هل ستفاجئون الموردين بإعلانات الثغرات؟
ج: لا. قبل الإفصاح العام، سنبذل جهداً بحسن نية لإبلاغ الموردين بنوايانا.
س: إذا اختلف مورّد مع تقييمكم لمشكلة ما، فهل ستكون تلك المعلومة متاحة؟
ج: نعم. نطلب بيانات موثَّقة من الموردين وننشرها ونشير إلى معلومات الموردين ذات الصلة في مذكرات الثغرات. ولن نحجب المعلومات التي يقدمها المورد لمجرد أنها تختلف مع تقييمنا للمشكلة.
س: من يحصل على المعلومات قبل الإفصاح العام؟
ج: بوجه عام، نقدّم المعلومات لكل من يمكنه الإسهام في الحل ولدينا معه علاقة ثقة، بمن فيهم الموردون (وكثيراً الموردون الذين لا تتأثر منتجاتهم بالثغرة)، وخبراء المجتمع، والرعاة، والمواقع التي تشكل جزءاً من بنية تحتية وطنية حرجة، إن اعتقدنا أن تلك المواقع في خطر.
س: هل تفصحون عن كل ثغرة يُبلَّغ عنها؟
ج: لا. يجوز لنا، وفق تقديرنا، أن نرفض تنسيق تقرير ثغرة أو نشره. ويستند هذا القرار عادةً إلى نطاق الثغرة وخطورتها وإلى قدرتنا على إضافة قيمة لعملية التنسيق والإفصاح. وسواء نسّقنا أو نشرنا أم لا، نوصي بأن يبذل المبلِّغ جهداً بحسن نية لإخطار المورد المتضرر والعمل معه مباشرةً قبل الإفصاح العام.