NCSC.nl

1. Въведение

Обществото все повече се дигитализира. Днес почти всички процеси включват в един момент използването на компютри – от мобилни телефони до специализиран софтуер. Макар това развитие да създава много нови възможности, уязвимостите в ИТ системите могат да имат голямо въздействие. Затова знанията за тези уязвимости трябва да се обработват ефективно.

В началото на 2013 г. редица организации започнаха да публикуват политика за това как да се докладват уязвимости. След консултации с тези страни Националният център за киберсигурност (NCSC) обобщи развитието под формата на „Насоки за постигане на практика на отговорно разкриване" („Leidraad om te komen tot een praktijk van Responsible Disclosure"; „Насоките"). Чрез тази политика компаниите показват, че са отворени за получаване на външни доклади за уязвимости, описват своите предварителни условия и дават обещания. Този процес създаде яснота и донякъде безопасна среда за докладващите страни да проучват и докладват уязвимости, без директно да извършват престъпление. На среща на високо равнище на ЕС по киберсигурност през 2016 г. 29 организации потвърдиха значението на политиката за работа с уязвимости, като подписаха Манифеста за координирано разкриване на уязвимости1, иницииран от CIO Platform Netherlands и Rabobank в сътрудничество с NCSC.

Координираното разкриване на уязвимости (CVD) се оказа от голямо значение за публичните и частните страни. Те са силно зависими от необезпокояваното функциониране на информационните системи в ежедневната практика. Докладите за уязвимости в техните системи помогнаха за подобряване на сигурността и непрекъснатостта на системите през последните години, от една страна, чрез отстраняване на уязвимостите, а от друга – чрез допринасяне за общата осведоменост на холандските компании за ИТ сигурността.

През последните години стана ясно, че докладващите страни са готови да работят в рамките на условията на политиката за CVD, изготвена от организациите. Докладите се подават директно или индиректно до организациите от докладващите страни. Практиката на отговорно разкриване показа, че добронамерените докладващи страни и уязвимите организации са успели да си сътрудничат и така да предприемат следващата стъпка към повишаване на сигурността на мрежовите и информационните системи.

За тази ревизия отново разговаряхме с широк и разнообразен кръг от докладващи страни, частни и публични страни, както и с Прокуратурата и Националната полиция. Тези разговори потвърдиха съществуващата практика и доведоха до допълнения и подобрения. Най-важният нов момент, на който се обръща внимание, е комуникацията между докладващия за уязвимост и организацията, както и с други страни, след като уязвимостта е отстранена.

Следващите глави разглеждат определението за CVD, градивните елементи на политиката за CVD и процеса на комуникация.

Бележка: Предишните Насоки използваха термина „отговорно разкриване" (responsible disclosure), който по това време беше общоприетият термин за тази практика. Междувременно стана ясно, че този термин поставя прекалено голям акцент върху отговорността на докладващата страна, докато основният принцип е докладващата страна и потенциално уязвимата организация да бъдат равнопоставени партньори в диалога. Това схващане е по-добре изразено в сегашния общоупотребяван термин „Координирано разкриване на уязвимости" (CVD), което е и името, използвано в стандартите ISO 29147 и 30111 за този процес.

2. Координирана уязвимост

През последните 30 години са използвани различни методи за повишаване на осведомеността за уязвимости в ИТ системите. Примери включват:

• „Пълно разкриване" (Full Disclosure) – уязвимостта се прави напълно публична;

• „Неразкриване" (Non-disclosure) – продажба или използване на уязвимостта от самия вас;

• „Координирано разкриване на уязвимости" (CVD) – координирано оповестяване на уязвимост.

Последната практика е изрично предпочитана.

ИТ общността е показала голяма готовност да споделя знания и опит. Търсенето на сътрудничество с тази общност може следователно да помогне за подобряване на цялостната сигурност на системите.

Целта на координираното разкриване на уязвимости

Целта на CVD е да допринесе за сигурността на ИТ системите чрез споделяне на знания за уязвимости. При CVD знанията се споделят с една или повече потенциално уязвими организации, за да се стигне до общо решение за намерената уязвимост в сътрудничество с докладващата страна. Важно е засегнатите организации да имат достатъчно време да отстранят евентуалните уязвимости или да защитят системите, за да се ограничат или предотвратят загубите или вредите във възможно най-голяма степен. Крайъгълният камък на процеса е оповестяването на знанията за уязвимостите след отстраняването.

От съществено значение при CVD е всички страни да спазват договореностите как да се докладва уязвимост и как да се работи с нея. Помага, ако организацията публикува предварително условията, като например кои системи са в обхвата и какви видове проучвания могат да се провеждат. Важен принцип за тези условия е, че по принцип организацията няма да подава сигнал срещу докладващата страна и няма да предприема други правни стъпки, ако проучването и докладването е извършено в рамките на зададените условия. Тези Насоки предоставят на организациите указания при изготвянето на собствена политика, въплъщаваща принципите на CVD.

Както подсказва името, за CVD е ключово организацията и докладващата страна да се координират помежду си. В това отношение трябва да има възможно най-малко звена между лицето, докладващо уязвимостта, и лицето в организацията, отговорно за решаването на проблема.

Може да е важно да се информират няколко страни едновременно, ако уязвимост засяга много системи. В такъв случай NCSC или други страни в общността по сигурността могат да подкрепят процеса на CVD, изпълнявайки координираща роля.

3. Области на отговорност

Целта на провеждането на политика за CVD е докладващите страни и организацията да работят заедно за намаляване на уязвимостите в ИТ системите. Прилагането на тази политика трябва да се разглежда като допълнение към съществуващите мерки за информационна сигурност. Различните участници имат собствена роля и отговорности. Те са обяснени по-подробно по-долу.

Организацията, която притежава/управлява система

Организацията, която притежава/управлява или доставя система, носи основната отговорност за сигурността на тази система. С други думи, организацията е също отговорна за предприемането на последващи действия по доклад за уязвимост.

Организацията може да избере да изготви собствена политика за CVD, използвайки тези Насоки, и да съобщи тази политика на потенциалните докладващи страни. Като публикуват политика за CVD, организациите показват желанието си да получават информация за уязвимости.

Страна, която установява политика за CVD, може да се ангажира с принципа, че няма да подаде жалба в полицията, ако се спазват правилата, приложими към политиката.

След като докладваща страна е докладвала уязвимост, отговорността лежи върху организацията. Важно е да се осъзнае, че докладващата страна често е лице извън организацията. Тази страна няма директна представа за вътрешните процеси, които могат да бъдат задействани след докладване на уязвимост. Затова докладващите страни ще ценят да бъдат информирани за развитието по отстраняването на уязвимостта. Тази постоянна комуникация е важна и за създаването на правилни очаквания относно последващите действия и навременността на решението.

Страната, докладваща уязвимост

По един или друг начин докладващата страна е успяла да установи уязвимост и иска да допринесе за сигурността на ИТ системите, като уязвимостта бъде отстранена и евентуално оповестена публично на по-късен етап. Докладващата страна може да е открила нещо чрез пасивно наблюдение или чрез активно тестване на ИТ системата. Разбира се, тази страна носи отговорност за собствените си действия и за начина, по който е открила уязвимостта. Отговорност на докладващата страна е да бъде запозната с условията, зададени от организацията в нейната политика за CVD. Повечето правителства и компании са публикували своите политики за CVD на уебсайтовете си.

Намирането на уязвимости въпреки това може да включва нарушаване на закона. В контекста на CVD организацията и докладващата страна могат да се споразумеят, че за евентуални престъпни деяния няма да се подава сигнал. В това отношение политиката за CVD, публикувана от организацията, е водещият принцип. Страните могат също да се споразумеят, че няма да се предприемат граждански искове.

Ако има подозрение, че докладващата страна е нарушила закона, политиката за CVD може преди всичко да помогне да се предотврати подаването на сигнал за докладващия до органите. Тази процедура зависи изцяло от предварителните условия на политиката, които организацията изисква докладващата страна да спазва, и от това дали това спазване е постигнато, евентуално със съответно обещание да не се подава наказателна жалба, докато страната действа в рамките на условията на политиката. Ако бъде подаден сигнал в полицията, наличието на политика за CVD и спазването ѝ са съществено обстоятелство в Нидерландия, което прокурорът ще вземе предвид при решаване дали да започне наказателно разследване и/или да повдигне обвинение. По принцип полицията и Прокуратурата (OM) няма да започнат наказателно разследване, ако докладващата страна ясно е спазила правилата на политиката за CVD на съответната организация. Прокуратурата и полицията обаче могат да разследват случая допълнително, ако има индикации, че докладващата страна съзнателно или несъзнателно е отишла твърде далеч с действията си и/или не е спазила политиката за CVD. Въз основа на това разследване Прокуратурата може да реши дали да повдигне обвинение.

Прокуратурата е публикувала писмо с политика, в което разглежда по-конкретно аспектите, които са важни при вземането на решение за разследване и/или повдигане на обвинение. Например дали действията на докладващата страна са служили на важен обществен интерес, дали страната е действала непропорционално и дали може би е могла да действа по друг, по-малко драстичен начин. Съответното писмо с политика доразвива тези аспекти.2 Относимата съдебна практика от 2013 г.3 показва, че тези аспекти също се вземат предвид в съда, ако организацията няма политика за CVD.

4. Градивни елементи на процеса на координирано разкриване на уязвимости

По-долу са представени градивни елементи за оформяне на процеса на CVD за организацията, докладващия и NCSC.

Организацията

Насърчаването на CVD започва с организация, която притежава ИТ системи или която доставя ИТ продукт/система. В крайна сметка тази организация носи основната отговорност за информационната сигурност на тези ИТ системи. За да работи ефективно с различни страни за отстраняване на уязвимости, организацията може да реши да изготви и публикува политика за CVD. Изготвянето на собствена политика за CVD позволява на организацията да демонстрира как работи с доклади за уязвимости. По този начин организацията може също да оформи начина, по който желае да получава уведомления. Такъв процес може да бъде организиран по следния начин:

• Организацията изготвя и публикува политика за CVD.

• В тази политика организацията предоставя ясни правила за проучванията, които докладващите страни могат да извършват, като например кои техники са разрешени и кои системи са в обхвата или извън него.

• Организацията улеснява докладващата страна да подаде доклад. Една възможност е използването на стандартизиран начин за докладване; например специален имейл адрес или онлайн формуляр. Освен това организацията може да реши дали да приема анонимни доклади.

• Организацията резервира вътрешен капацитет и създава процес, за да отговаря адекватно на докладите. Препоръчително е да се създаде процес, с който евентуалните намерени уязвимости да бъдат адекватно отстранени. В това отношение произходът на доклада е без значение. Уязвимостта може да е установена и от вътрешен служител или например по време на тест.

• Практическият опит показва, че след първоначалното публикуване на политика за CVD ще има по-голям интерес към докладване на уязвимости към организацията. Организацията трябва да го вземе предвид при планирането на (допълнителен) капацитет.

• Когато организацията получи доклада за уязвимост, тя гарантира, че докладът достига възможно най-скоро до отдела, най-подходящ да го оцени и да се справи с него.

• Организацията изпраща потвърждение за получаване на доклада до докладващата страна, за предпочитане с цифров подпис, за да се подчертае приоритетът.

• След това организацията ще влезе в консултации с докладващата страна, за да определи срока, в който ще се извърши евентуалното публикуване. Този срок ще зависи силно от естеството на уязвимостта и вида на системата.

• Като ориентир за уязвимости в софтуера често се използва срок от приблизително 60 дни. Отстраняването на уязвимости в хардуера е по-трудно за постигане; може да се използва ориентир от 6 месеца.

• Може да е желателно този срок да бъде удължен или съкратен по взаимно съгласие в зависимост от това колко или колко малко ИТ системи зависят от системата, за която е докладвана уязвимостта, или дали уязвимостта е по-лесна или по-трудна за разрешаване.

• Една уязвимост може да се окаже трудна или невъзможна за разрешаване или може да има високи разходи за разрешаването ѝ. В такива случаи организацията може да се съгласи да приеме уязвимостта за приет риск и да не я отстранява, евентуално след консултация с докладващата страна.

• Организацията ще информира докладващата страна за развитието на процеса.

• Освен това организацията може да предложи докладващата страна да бъде публично призната за публикуването на уязвимостта. Възможно е също да се избере съвместно оповестяване пред външния свят.

• За предпочитане е докладващата страна да бъде възнаградена за докладване на уязвимости в системи, ако страната е спазила правилата на политиката за CVD. Размерът на възнаграждението може да зависи от качеството на доклада. Възнаграждаването на докладващата страна може да създаде по-добри отношения между тази страна и организацията, както и да увеличи желанието на хората да подават нови доклади в съответствие с политиката за CVD.

• След консултация с докладващата страна организацията може да се съгласи да информира по-широката ИТ общност за уязвимостта, ако е правдоподобно, че уязвимостта е налична и на други места.

• В своята политика за CVD организацията може да се ангажира с принципа, че няма да подаде жалба в полицията, ако докладващата страна е спазила правилата, очертани в политиката.

Докладващата страна

Докладващата страна е ключът към успешния процес на CVD. По един или друг начин тази страна е успяла да установи уязвимост и иска да допринесе за сигурността на ИТ системите, като уязвимостта бъде отстранена от организацията и оповестена публично. По този начин докладващите страни признават, че могат да направят важен принос към обществото, като разкриват уязвимости по координиран начин. За постигането на успешен процес на CVD следните градивни елементи са важни за докладващата страна:

• Докладващата страна носи отговорност за собствените си действия и трябва да спазва принципите на пропорционалност и субсидиарност при проучване и докладване на уязвимости. С други думи, докладващата страна не бива да прави повече от необходимото за демонстриране на уязвимостта и винаги трябва първо да докладва уязвимостта на собственика на системата/информацията.

• Докладващата страна трябва да докладва проблема възможно най-скоро, за да не позволи на злонамерени страни да открият уязвимостта и да се възползват от нея.

• Докладващата страна трябва да подаде доклада до организацията по поверителен начин, за да не позволи на други да получат достъп до тази информация.

• Докладващата страна не може да обвързва подаването на доклад или по-нататъшното предоставяне на информация с възнаграждение. Инициативата за отпускане на възнаграждение при доклад принадлежи на получаващата организация, която може да очертае предварителни условия в публикуваната си политика.

• Докладващата страна и организацията постигат ясни договорености за оповестяването на уязвимостта. Ако са замесени повече от една организации, основният принцип е, че уязвимостите могат да бъдат публикувани само ако всички организации са съгласни с това. Препоръчително е тези договорености да се постигнат на ранен етап.

• Докладващата страна и засегнатата организация могат да постигнат договорености за информиране на по-широката ИТ общност. Например тази ситуация може да се отнася за уязвимост (вече известна или не), за която е известно, че присъства на повече от едно място. Националният център за киберсигурност (NCSC) може да бъде включен в този процес, за да подкрепи целевите групи на централното правителство и критичната инфраструктура или да информира няколко страни при уязвимост, която засяга много системи.

NCSC

Процесът на CVD е преди всичко въпрос на организациите и докладващите страни. Въпреки това NCSC ще насърчава използването на процес на CVD. След консултация с докладващата страна и организацията NCSC може да бъде включен и в споделянето на информация за уязвимостта със своите целеви групи, за да се ограничат допълнителни рискове за сигурността, произтичащи от уязвимостта.

Ако докладването на уязвимостта не протича така, както докладващата страна очаква, или ако предпочита да не докладва уязвимостта директно на организацията, тя може да се свърже с NCSC.4 В този случай NCSC може да действа като посредник, когато е необходимо.

Собственикът на ИТ системата носи във всеки момент отговорност за сигурността на системата. NCSC не може нито да принуди собственика на системата да отстрани уязвимост, нито да гарантира, че собственикът няма да предприеме правни действия срещу докладващата страна. Затова докладващата страна трябва да вземе предвид посочените градивни елементи за организации и докладващи страни при търсене и докладване на уязвимост. Докладващата страна може да очаква NCSC да направи всичко възможно уязвимостта да бъде отстранена и докладът да бъде третиран поверително. NCSC не споделя лични данни, освен ако не е законово задължен да го направи.

Ако е възможно, NCSC ще използва получената информация за уязвимости в консултация с организациите и докладващите страни за по-нататъшно споделяне на знанията с ИТ общността. Например може да го направи чрез публикуване на част от информацията, написване или актуализиране на информационен лист или официален доклад (white paper) или чрез информиране на конкретни организации.

• В зависимост от засегнатата организация и естеството на установената уязвимост NCSC ще положи усилия да насочи вниманието на засегнатата организация към уязвимостта. Собственикът на въпросната ИТ система обаче остава отговорен за системата.

• Където е възможно и необходимо, NCSC ще предостави на засегнатата организация съвети как да отстрани уязвимостта.

• NCSC ще третира докладите поверително и няма да споделя личните данни на докладващите страни или на получаващата организация без съгласие, освен ако това не следва от законово задължение.

• Където е възможно, NCSC ще информира докладващата страна за развитието в контакта с организацията и в отстраняването на уязвимостта.

• В случаите, когато доклад е подаден до NCSC, NCSC ще се опита да свърже докладващата страна или потенциалната докладваща страна и организацията помежду им.

Ако докладваща страна е намерила например уязвимост в софтуерен продукт или уязвимост, засягаща много различни системи, докладващата страна може да поиска от NCSC да координира отстраняването и оповестяването на уязвимостта.

Заедно с докладващата страна, партньори, разработчици и/или софтуерни разработчици и други екипи по сигурността NCSC ще помогне за анализа, отстраняването или организирането на отстраняването, координирането и контролираното оповестяване на уязвимостта. Целият този процес протича в тясна консултация с докладващата страна, която е открила уязвимостта.

Политиката за CVD се опитва да постигне баланс между важността на оповестяването на уязвимости възможно най-бързо, за да могат да се предприемат мерки, и важността разработчиците, както и доставчиците, да имат достатъчно време за отстраняване на уязвимостта. За този процес NCSC използва стандартен срок от 60 дни между доклада и публичното оповестяване. Възможно е обаче да има обстоятелства, при които да се реши този срок да бъде удължен или съкратен.

NCSC ще споделя информация за уязвимостта с трети страни само след консултация с докладващата страна. От съществено значение в този контекст е NCSC да си сътрудничи и затова да споделя информация за уязвимостта със заинтересованите страни, за да оповести уязвимостта по координиран начин. При това NCSC ще гарантира, че правилните страни могат да работят по отстраняването на уязвимостта, ще помогне да се ограничат евентуални загуби или вреди и ще помогне да се привлече вниманието към намерената уязвимост.

5. Комуникация и процесът на оповестяване

Пет години практика показаха, че ясната комуникация е крайъгълният камък на успешния процес на CVD. Има точки, на които да се обърне внимание преди, по време и след процеса на CVD.

Комуникация относно процеса на оповестяване

Публикуването на политика за CVD е първа стъпка в комуникацията относно процеса. Като публикува политика публично, докладващите страни се приканват да уведомят организацията за евентуално намерени уязвимости.

От една страна, организацията може да изготви условия за проучването, което се извършва за откриване на уязвимости, и за начина на търсене на контакт. От друга страна, организацията може да се ангажира с принципа, че няма да подаде жалба в полицията, ако правилата на политиката се спазват. Този подход защитава позицията на докладващата страна.

Политиката за CVD може да бъде променена или актуализирана на по-късна дата. Важно е да се бъде ясен относно промените в това отношение. Докладващите страни имат интерес да знаят какво е променено и кога. Например промените могат да се изяснят чрез включване на дата на публикуване в началото на политиката за CVD, чрез описване на обобщение на промените под политиката за CVD или чрез поддържане на архив със стари версии на политиката за CVD.

Политиката за CVD може да предоставя насоки как да се комуникира по време на процеса, например като посочва редовни актуализации по имейл или чрез уеб портал. Освен това политиката за CVD може да описва как докладващият може да бъде признат чрез споменаването му при актуализация, включване в зала на славата (hall of fame) или друга форма на награда.

Комуникация по време на процеса на оповестяване

Докладващата страна инициира процес на CVD, като изпраща съобщение до организацията. В това съобщение докладващата страна дава ясно описание на открита уязвимост. Важни елементи са IP адресът или URL адресът на засегнатата система и необходимите стъпки за възпроизвеждане на уязвимостта.

Важно е организацията да комуникира ясно с докладващата страна, така че очакванията за процеса да са ясни.

Тя може да го направи вече чрез изпращане на потвърждение за получаване (автоматизирано или по друг начин), което съдържа указание за срока, в който ще бъде изпратен първоначален или последващ съдържателен отговор.

Възможно е също този срок да се остави отворен и да се даде първоначално указание за срока след оценка на съдържанието на доклада. Препоръчително е да се изясни възможно най-скоро срокът, в който може да се постигне решение. По този начин докладващият знае кога може да се очаква резултат.

В някои случаи е възможно датата на публикуване вече да е ясна за докладващата страна; например поради презентация на конференция или защото докладващата страна е определила собствен срок. В този случай все пак е важно докладващата страна да съобщи ясно този график, да го заяви възможно най-рано и да е ясна относно възможността/невъзможността за отлагане на тази дата.

Докладващата страна често е лице извън организацията, което няма поглед върху вътрешните процеси, които могат да бъдат задействани от доклад. Организациите могат да информират докладващата страна за развитието на процеса чрез редовни актуализации. Този подход показва на докладващата страна, че се работи по решение. Когато е необходимо, организацията може да поиска уточнение или да тества решение по време на процеса.

Ако организацията не може да спази първоначалния срок за разрешаване, това може да се обсъди с докладващия, за да се отложи. Редовната комуникация може да изясни тази ситуация на докладващия на по-ранен етап.

Основното намерение на CVD е да се смекчи уязвимостта, но „пълно разкриване" на уязвимостта винаги е опция за докладващата страна, ако смята, че процесът ще отнеме твърде дълго. Тази мярка е пословичната „голяма тояга" в ръцете на докладващата страна. Естествено, тази ситуация трябва да се избягва във възможно най-голяма степен.

Комуникация след процеса на оповестяване

Съществуват много възможни причини, поради които докладваща страна може да търси уязвимости и след това да ги докладва на организации чрез процеса на CVD. За голям брой докладващи страни важен стимул е (публичното) признание.

Докладващите страни получават публично признание чрез благодарност при актуализация или включване в зала на славата (hall of fame). Нуждата от публично признание обаче не важи за всички докладващи страни; някои всъщност не искат да бъдат известни на обществото. При комуникация от организацията затова е препоръчително да се получи съгласието на докладващата страна за назоваването ѝ.

Освен това докладващите страни могат да решат да комуникират за доклад след приключване на процеса на CVD. Например докладващата страна може да опише процеса на откриване или да предупреди други за уязвимостта. Докладващият може да реши да изпрати публикацията на организацията с информационна цел. Тъй като процесът на CVD по принцип е приключил след отстраняването на уязвимостта, докладващата страна е впоследствие свободна да комуникира за нея, освен ако не са договорени допълнителни условия в политиката или по време на процеса.

Списък

Комуникация относно процеса на оповестяване

• Публикуване на политиката за CVD на уебсайта

• Яснота относно ограниченията (вж. глава 6 за различни подходи)

• Ограничения в методите на проучване

• Насоки относно комуникацията

• Насоки относно евентуални награди: зала на славата (hall of fame), финансово възнаграждение, тениска и т.н.

• Яснота относно всякакви актуализации на политиката за CVD, включително датата на промените

Комуникация по време на процеса на оповестяване

• Докладващият се свързва с организацията относно открита уязвимост.

• Организацията управлява очакванията, например времето за отговор при първи технически отговор

• Организацията и докладващият си дават яснота за очаквания срок на разрешаване

• Организацията често предоставя актуализация (на процеса)

• Където е необходимо, докладващият и организацията обсъждат връзка с други съответни организации

Комуникация след процеса на оповестяване

• Обсъждане на (публичното) признание и възнаграждение на докладващия

• Уреждане как ще бъде публикувана информацията за уязвимостта, например фазата на проучване или информиране на други организации

6. Примери за политика за координирано разкриване на уязвимости

Съществуват много различни форми на текстове на политики за координирано разкриване на уязвимости. Тъй като публикуваната политика за CVD служи като указател за потенциалните докладващи страни, уверете се, че формата на тази политика е в съответствие с политиката и стратегията на организацията.

Следните елементи са важни в политиката за CVD:

• метод за контакт за сигурна комуникация;

• предварителни условия за докладващите страни;

• ясни очаквания за обработката на доклад;

• метод за възнаграждаване на доклад;

• номер на версията и дата на последната ревизия.

По-долу са дадени три примера: много организации в Нидерландия са взели за основа основния пример на ResponsibleDisclosure.nl. Други организации включват допълнителни предварителни условия, вж. политиката на Fox IT. Трети организации прилагат по-свободен формат, за да се съобразят с целевата си аудитория, вж. политиката на Bits of Freedom.

Пример: ResponsibleDisclosure.nl

Този текст е написан от Floor Terra и е публикуван с лиценз Creative Commons Attribution 3.0 Unported.

В Acme Corporation считаме сигурността на нашите системи за първостепенен приоритет. Но колкото и усилия да полагаме за сигурността на системите, все пак може да има уязвимости.

Ако откриете уязвимост, бихме искали да знаем за нея, за да предприемем стъпки за отстраняването на проблема възможно най-бързо.

Бихме искали да ви помолим да ни помогнете да защитим по-добре нашите клиенти и системи.

Моля, направете следното:

• Изпратете находките си по имейл на cert@example.com. Криптирайте находките си с нашия PGP ключ, за да не попадне тази критична информация в грешните ръце,

• Не се възползвайте от откритата уязвимост или проблем, например като изтегляте повече данни от необходимото за демонстриране на уязвимостта или като изтривате или променяте данни на други хора,

• Не разкривайте проблема пред други, докато не бъде разрешен,

• Не използвайте атаки срещу физическата сигурност, социално инженерство, разпределен отказ на услуга, спам или приложения на трети страни, и

• Предоставете достатъчно информация за възпроизвеждане на проблема, за да можем да го разрешим възможно най-бързо. Обикновено IP адресът или URL адресът на засегнатата система и описание на уязвимостта са достатъчни, но сложните уязвимости може да изискват допълнително обяснение.

Какво обещаваме:

• Ще отговорим на вашия доклад в рамките на 3 работни дни с нашата оценка на доклада и очаквана дата за разрешаване,

• Ако сте следвали горните инструкции, няма да предприемем никакви правни действия срещу вас във връзка с доклада,

• Ще обработим вашия доклад със строга поверителност и няма да предадем личните ви данни на трети страни без вашето разрешение,

• Ще ви информираме за напредъка по разрешаването на проблема,

• В публичната информация относно докладвания проблем ще посочим вашето име като откривател на проблема (освен ако не желаете друго), и

• Като знак на благодарност за вашата помощ предлагаме възнаграждение за всеки доклад за проблем със сигурността, който все още не ни е бил известен. Размерът на възнаграждението ще бъде определен въз основа на сериозността на изтичането и качеството на доклада. Минималното възнаграждение ще бъде ваучер за подарък на стойност €50.

Стремим се да разрешим всички проблеми възможно най-бързо и бихме искали да играем активна роля в окончателната публикация за проблема, след като бъде разрешен.

Пример: Fox-IT

Във Fox-IT считаме сигурността на нашите системи, нашата мрежа и нашите продукти за изключително важна. Въпреки голямата грижа, която полагаме за сигурността, слаби места все още могат да останат. Ако сте открили такава слабост, бихме искали да научим за нея възможно най-скоро, за да можем да вземем подходящи мерки възможно най-бързо.

Слабите места могат да бъдат открити по два начина: можете случайно да попаднете на нещо при нормалната употреба на цифрова среда или можете изрично да се опитате да ги намерите.

Нашата политика за отговорно разкриване не е покана за активно сканиране на бизнес мрежата ни с цел откриване на слаби места. Ние наблюдаваме бизнес мрежата си сами. Това означава, че има голям шанс сканирането да бъде засечено и нашият Център за операции по сигурността (SOC) да извърши разследване, което може да доведе до ненужни разходи. Приканваме ви обаче активно да търсите уязвимости в нашите продукти в офлайн среда, различна от производствената, и да ни докладвате находките си. Отговорността ни към нашите клиенти означава, че намерението ни не е да насърчаваме опити за хакване на тяхната инфраструктура; въпреки това бихме искали да чуем от вас възможно най-бързо, ако бъдат открити уязвимости, за да можем да ги отстраним адекватно.

Бихме искали да работим с вас, за да можем по-добре да защитаваме нашите клиенти и нашите системи.

Молим ви да:

• Изпратите находките си по имейл възможно най-бързо на security-alert@fox-it.com.

• Не злоупотребявате с уязвимостта; например чрез изтегляне, редактиране или изтриване на данни. Винаги ще приемаме доклада ви сериозно и ще разследваме всяко подозрение за уязвимост, дори без доказателства.

• Не споделяте проблема с други, докато не бъде разрешен.

• Не използвате атаки срещу физическата сигурност, социално инженерство или хакерски инструменти, като скенери за уязвимости.

• Предоставите достатъчно информация за възпроизвеждане на проблема, за да можем да го разрешим възможно най-бързо. Обикновено IP адресът или URL адресът на засегнатата система и описание на уязвимостта са достатъчни, макар че за по-сложни уязвимости може да е необходима повече информация.

Какво обещаваме:

• Ще отговорим на вашия доклад в рамките на три работни дни с нашата оценка на доклада и очаквана дата за разрешаване.

• Ще обработим вашия доклад поверително и няма да споделяме личните ви данни с трети страни без вашето разрешение. Изключение от това са полицията и съдебната власт в случай на наказателно преследване или ако се изисква информация.

• Ще ви информираме за напредъка по решаването на проблема.

• В комуникацията относно докладвания проблем ще посочим вашето име като страната, която е открила проблема, ако желаете.

• За съжаление не е възможно да гарантираме предварително, че няма да бъдат предприети правни действия срещу вас. Надяваме се да можем да разглеждаме всяка ситуация поотделно. Считаме се за морално задължени да ви докладваме, ако подозираме, че слабостта или данните се използват злоупотребително или че сте споделили знание за слабостта с други. Можете да бъдете спокойни, че случайно откритие в нашата онлайн среда няма да доведе до наказателно преследване.

• Като благодарност за помощта ви предлагаме възнаграждение за всеки доклад за проблем със сигурността, който не ни е известен. Определяме стойността на възнаграждението въз основа на сериозността на нарушението и качеството на доклада.

Стремим се да разрешим всички проблеми възможно най-бързо, да държим всички засегнати страни информирани и бихме искали да участваме във всяка публикация относно проблема, след като бъде разрешен.

Пример: Bits of Freedom

Зависимостта ни от цифровата инфраструктура непрекъснато расте. Това важи за обществото като цяло, но и за самите нас. Затова според нас правителствата и организациите (включително нашата) трябва твърдо да се ангажират със защитата на нашата цифрова инфраструктура. Осъзнаваме, че въпреки най-добрите ни намерения и най-голямата ни грижа в системите ни може да има уязвимости. Ако откриете някоя от тези слабости, ще се радваме да чуем от вас, за да можем да разрешим проблема.

Какво очакваме от вас

• Когато изследвате някоя от нашите системи, имайте предвид пропорционалността на атаката. Няма нужда да демонстрирате, че когато подложите нашия уебсайт на най-голямата DDoS атака в историята на интернет, сайтът може да стане недостъпен. Знаем това. Разбираме също, че ако влезете с булдозер в офиса ни, вероятно ще можете да грабнете някой от лаптопите ни.

• Този принцип на пропорционалност е важен и при демонстрирането на самата уязвимост. Не бива да преглеждате или променяте повече данни, отколкото е строго необходимо за потвърждаване на валидността на находката ви. Например, ако можете да промените началната ни страница, просто добавете към нея една неконтроверсна дума вместо да превземате цялата страница. Ако можете да получите достъп до база данни, достатъчно е да ни покажете списък на таблиците в нея или може би първия запис в една от тези таблици.

• Уязвимост в някоя от нашите системи трябва да се докладва възможно най-скоро чрез изпращане на имейл на security@bof.nl. За предпочитане е да криптирате съобщението си с OpenPGP. Моля, предоставете достатъчно информация, за да можем да възпроизведем и проучим проблема.

• Публичният OpenPGP ключ за security@bof.nl

• Няма да споделяте знанията си за уязвимостта с други страни, докато не сме се заели с проблема и все още сме в разумен срок от момента, в който сте докладвали проблема.

• Ще изтриете цялата поверителна информация, която сте получили по време на проучването си, веднага щом отстраним уязвимостта.

Какво можете да очаквате от нас

• Ще отговорим на вашия доклад в рамките на три дни по подробен начин. Ще включим оценка на времето, от което ще се нуждаем, за да се заемем с проблема. Разбира се, редовно ще ви информираме за напредъка ни.

• Ще отстраним уязвимостта възможно най-скоро. И тук пропорционалността е важна: времето, необходимо за поправяне на уязвимост, зависи от няколко фактора, сред които сериозността и сложността на разглеждания проблем.

• Когато следвате указанията, изложени тук, няма да предприемем правни действия срещу вас във връзка с вашия доклад.

• За нас е важно да отдадем признание за онова, което сте направили, ако желаете. Ще споменем името ви в публикация относно уязвимостта само ако се съгласите с това.

• Като благодарност за помощта ви да защитим по-добре системите си, бихме искали да възнаградим всеки доклад за уязвимост, която не ни е била известна по онова време. Възнаграждението ще зависи от сериозността на уязвимостта и качеството на доклада.

Ако откриете уязвимост в софтуер на трета страна, който използваме, и тази уязвимост е обхваната от програма за възнаграждения за грешки (bug bounty), няма да се опитваме да претендираме за това възнаграждение; вие трябва да го направите.