Coordinated vulnerability disclosure
← Политики

CERT: Политика за разкриване на уязвимости

Уязвимостите, докладвани на CERT/CC, ще бъдат оповестени публично 45 дни след първоначалния доклад, независимо от наличието на поправки или временни решения от засегнатите доставчици. Смекчаващи обстоятелства, като активна експлоатация, заплахи с особено сериозен (или тривиален) характер или ситуации, изискващи промени в установен стандарт, могат да доведат до по-ранно или по-късно оповестяване. Оповестяванията от CERT/CC ще включват отбелязване на докладчика, освен ако докладчикът не поиска друго. Ще уведомяваме всички засегнати доставчици за плановете ни за публикуване и ще договаряме алтернативни графици за публикуване със засегнатите доставчици, когато е необходимо.

Целта на тази политика е да балансира нуждата на обществеността да бъде информирана за уязвимости в сигурността с нуждата на доставчиците от време за ефективен отговор. Окончателното определяне на графика за публикуване ще се основава на най-добрия интерес на общността като цяло.

Докладваните ни уязвимости ще бъдат препращани на засегнатите доставчици веднага щом е практически възможно след получаването на доклада. Името и данните за контакт на докладчика ще бъдат препратени на засегнатите доставчици, освен ако докладчикът не поиска друго. Ще уведомяваме докладчика за значителни промени в състоянието на всяка уязвимост, която е докладвал, доколкото е възможно, без да разкриваме информация, предоставена ни при условията на поверителност.

Уязвимостите ще бъдат оповестявани във Vulnerability Notes.

Докладите за уязвимости в уебсайтове на правителството на САЩ ще бъдат препращани на US-CERT за координация с правителството.

Често задавани въпроси

В: Означава ли това, че CERT/CC минава към „пълно разкриване" (full disclosure)?

О: Няма да разпространяваме експлойти, ако това означава „пълно разкриване". Според нашия опит броят на хората, които могат да се възползват от наличието на експлойти, е малък в сравнение с броя на хората, които са увредени от тези, които използват експлойти злонамерено. Ще оповестяваме обаче информация за уязвимости, които може да не сме оповестявали преди. В рамките на ресурсите ни ще публикуваме информация за колкото се може повече уязвимости.

В: Защо не 30 дни, или 15 дни, или незабавно?

О: Смятаме, че 45 дни може да бъде доста труден срок за голяма организация. Съкращаването му реалистично няма да помогне за проблема. При липса на доказателства за експлоатация необоснованото обявяване на уязвимости може да не е в най-добрия интерес на обществената безопасност.

В: Не би ли било по-добре уязвимостите да се държат в тайна, ако няма налична поправка?

О: Уязвимостите се откриват и оповестяват рутинно, често преди доставчиците да са имали справедлива възможност да предоставят поправка, а оповестяването често включва работещи експлойти. Според нашия опит, ако няма отговорно, квалифицирано оповестяване на информация за уязвимости, изследователите, програмистите, системните администратори и други ИТ специалисти, които откриват уязвимости, често смятат, че нямат друг избор, освен да направят информацията публична в опит да принудят доставчиците да се заемат с проблема.

В: Ще бъдат ли всички уязвимости оповестени в рамките на 45 дни?

О: Не. Често може да има обстоятелства, които да ни накарат да коригираме графика си за публикуване. Заплахи, които са особено сериозни или за които имаме доказателства за експлоатация, вероятно ще ни накарат да съкратим графика си за издаване. Заплахи, които изискват „трудни" промени (промени в стандарти, промени в основни компоненти на операционната система), ще ни накарат да удължим графика си за публикуване. Възможно е да не публикуваме всяка уязвимост, която ни е докладвана.

В: Ще изненадвате ли доставчиците с обявления за уязвимости?

О: Не. Преди публичното оповестяване ще положим добросъвестни усилия да информираме доставчиците за намеренията си.

В: Ако доставчик не е съгласен с вашата оценка на проблема, ще бъде ли тази информация налична?

О: Да. Искаме и публикуваме удостоверени становища на доставчици и препращаме към съответната информация от доставчика във vulnerability notes. Няма да задържаме информация, предоставена от доставчика, само защото не се съгласува с нашата оценка на проблема.

В: Кой получава информацията преди публичното оповестяване?

О: Като цяло предоставяме информацията на всеки, който може да допринесе за решението и с когото имаме отношения на доверие, включително доставчици (често и доставчици, чиито продукти не са уязвими), експерти от общността, спонсори и сайтове, които са част от националната критична инфраструктура, ако смятаме, че тези сайтове са изложени на риск.

В: Оповестявате ли всяка докладвана уязвимост?

О: Не. Можем по свое усмотрение да откажем да координираме или публикуваме доклад за уязвимост. Това решение обикновено се основава на обхвата и сериозността на уязвимостта и на способността ни да добавим стойност към процеса на координация и оповестяване. Независимо дали координираме или публикуваме, препоръчваме докладчикът да положи добросъвестни усилия да уведоми засегнатия доставчик и да работи директно с него преди публичното оповестяване.