CERT: দুর্বলতা প্রকাশ নীতি

• যোগাযোগ: ?
• ওয়েবসাইট: http://www.cert.org/vulnerability-analysis/vul-disclosure.cfm
• যাচাইকৃত: ২০১৭-০৯-২১

CERT/CC-কে জানানো দুর্বলতা প্রাথমিক প্রতিবেদনের ৪৫ দিন পর জনসাধারণের কাছে প্রকাশ করা হবে, প্রভাবিত বিক্রেতাদের প্যাচ বা বিকল্প সমাধান আছে বা পাওয়া যায় কি না তা নির্বিশেষে। সক্রিয় শোষণ, বিশেষ গুরুতর (বা তুচ্ছ) প্রকৃতির হুমকি, বা প্রতিষ্ঠিত মানদণ্ডে পরিবর্তন প্রয়োজন এমন পরিস্থিতির মতো ক্ষমাযোগ্য পরিস্থিতিতে প্রকাশ আগে বা পরে হতে পারে। CERT/CC-এর প্রকাশে প্রতিবেদকের স্বীকৃতি অন্তর্ভুক্ত থাকবে, যদি না প্রতিবেদক অন্যভাবে অনুরোধ করেন। আমরা প্রভাবিত বিক্রেতাদের আমাদের প্রকাশনা পরিকল্পনা জানাব এবং প্রয়োজনে প্রভাবিত বিক্রেতাদের সঙ্গে বিকল্প প্রকাশনা সূচি নিয়ে আলোচনা করব।

এই নীতির লক্ষ্য হলো নিরাপত্তা দুর্বলতা সম্পর্কে জনসাধারণের অবহিত হওয়ার প্রয়োজন এবং কার্যকরভাবে সাড়া দিতে বিক্রেতাদের সময়ের প্রয়োজনের মধ্যে ভারসাম্য রাখা। প্রকাশনা সূচির চূড়ান্ত সিদ্ধান্ত সামগ্রিকভাবে সম্প্রদায়ের সর্বোত্তম স্বার্থের ভিত্তিতে নেওয়া হবে।

আমাদের জানানো দুর্বলতা প্রতিবেদন পাওয়ার পর যত দ্রুত বাস্তবসম্মত তত দ্রুত প্রভাবিত বিক্রেতাদের কাছে পাঠানো হবে। প্রতিবেদকের নাম ও যোগাযোগের তথ্য প্রভাবিত বিক্রেতাদের কাছে পাঠানো হবে, যদি না প্রতিবেদক অন্যভাবে অনুরোধ করেন। প্রতিবেদক যে দুর্বলতা জানিয়েছেন তার অবস্থায় উল্লেখযোগ্য পরিবর্তন হলে, আমাদের কাছে গোপনে দেওয়া তথ্য প্রকাশ না করে যতটা সম্ভব আমরা তাঁকে জানাব।

দুর্বলতা Vulnerability Notes-এ (দুর্বলতা বিজ্ঞপ্তি) প্রকাশ করা হবে।

মার্কিন সরকারি ওয়েবসাইটের দুর্বলতা প্রতিবেদন সরকারের সঙ্গে সমন্বয়ের জন্য US-CERT-এ পাঠানো হবে।

প্রায়শ জিজ্ঞাসিত প্রশ্ন

প্রশ্ন: এর মানে কি CERT/CC "পূর্ণ প্রকাশ"-এ (full disclosure) যাচ্ছে?

উত্তর: "পূর্ণ প্রকাশ" বলতে যদি এক্সপ্লয়েট বিতরণ বোঝায়, তবে আমরা এক্সপ্লয়েট বিতরণ করব না। আমাদের অভিজ্ঞতায়, এক্সপ্লয়েট পাওয়া গেলে যাঁরা উপকৃত হন, তাঁদের সংখ্যা এক্সপ্লয়েট ক্ষতিকর উদ্দেশ্যে ব্যবহারকারীদের দ্বারা ক্ষতিগ্রস্তদের সংখ্যার তুলনায় কম। তবে আমরা এমন দুর্বলতার তথ্য প্রকাশ করব যা আগে হয়তো প্রকাশ করা হয়নি। আমাদের সম্পদের সীমার মধ্যে আমরা যত বেশি সম্ভব দুর্বলতার তথ্য প্রকাশ করব।

প্রশ্ন: ৩০ দিন, বা ১৫ দিন, বা অবিলম্বে নয় কেন?

উত্তর: আমরা মনে করি একটি বড় প্রতিষ্ঠানের জন্য ৪৫ দিন বেশ কঠিন সময়সীমা হতে পারে। এটি আরও ছোট করলে বাস্তবে সমস্যার সমাধান হবে না। শোষণের প্রমাণ না থাকলে অকারণে দুর্বলতা ঘোষণা করা জননিরাপত্তার সর্বোত্তম স্বার্থে নাও হতে পারে।

প্রশ্ন: সমাধান না থাকলে দুর্বলতা নীরব রাখা কি ভালো হতো না?

উত্তর: দুর্বলতা নিয়মিত আবিষ্কৃত ও প্রকাশিত হয়, প্রায়ই বিক্রেতারা সমাধান দেওয়ার ন্যায্য সুযোগ পাওয়ার আগেই, এবং প্রকাশে প্রায়ই কার্যকর এক্সপ্লয়েট থাকে। আমাদের অভিজ্ঞতায়, দুর্বলতার তথ্যের দায়িত্বশীল, যোগ্য প্রকাশ না থাকলে, দুর্বলতা আবিষ্কারকারী গবেষক, প্রোগ্রামার, সিস্টেম অ্যাডমিনিস্ট্রেটর এবং অন্যান্য আইটি পেশাজীবীরা প্রায়ই মনে করেন, বিক্রেতাদের সমস্যা সমাধানে বাধ্য করার চেষ্টায় তথ্য প্রকাশ্যে আনা ছাড়া তাঁদের উপায় নেই।

প্রশ্ন: সব দুর্বলতা কি ৪৫ দিনের মধ্যে প্রকাশ করা হবে?

উত্তর: না। প্রায়ই এমন পরিস্থিতি থাকতে পারে যা আমাদের প্রকাশনা সূচি সমন্বয় করতে বাধ্য করবে। বিশেষ গুরুতর হুমকি, বা যেসবের শোষণের প্রমাণ আমাদের কাছে আছে, সেগুলো সম্ভবত আমাদের প্রকাশের সূচি ছোট করবে। "কঠিন" পরিবর্তন প্রয়োজন এমন হুমকি (মানদণ্ডে পরিবর্তন, অপারেটিং সিস্টেমের মূল উপাদানে পরিবর্তন) আমাদের প্রকাশনা সূচি বাড়াবে। আমাদের জানানো প্রতিটি দুর্বলতা আমরা প্রকাশ নাও করতে পারি।

প্রশ্ন: আপনারা কি দুর্বলতার ঘোষণা দিয়ে বিক্রেতাদের চমকে দেবেন?

উত্তর: না। জনসমক্ষে প্রকাশের আগে আমরা সদিচ্ছায় বিক্রেতাদের আমাদের অভিপ্রায় জানানোর চেষ্টা করব।

প্রশ্ন: কোনো বিক্রেতা যদি সমস্যা সম্পর্কে আপনাদের মূল্যায়নের সঙ্গে একমত না হন, সেই তথ্য কি পাওয়া যাবে?

উত্তর: হ্যাঁ। আমরা প্রমাণীকৃত বিক্রেতার বিবৃতি চাই ও প্রকাশ করি এবং দুর্বলতা বিজ্ঞপ্তিতে প্রাসঙ্গিক বিক্রেতার তথ্যের উল্লেখ করি। বিক্রেতার দেওয়া তথ্য সমস্যা সম্পর্কে আমাদের মূল্যায়নের সঙ্গে মেলে না বলেই আমরা তা আটকে রাখব না।

প্রশ্ন: প্রকাশ্য প্রকাশের আগে কে তথ্য পায়?

উত্তর: সাধারণত আমরা সমাধানে অবদান রাখতে পারেন এবং যাঁদের সঙ্গে আমাদের আস্থার সম্পর্ক আছে তাঁদের তথ্য দিই, এর মধ্যে আছে বিক্রেতা (প্রায়ই যাঁদের পণ্য দুর্বল নয় এমন বিক্রেতাসহ), সম্প্রদায়ের বিশেষজ্ঞ, স্পনসর, এবং জাতীয় গুরুত্বপূর্ণ অবকাঠামোর অংশ এমন সাইট, যদি আমরা মনে করি সেই সাইটগুলো ঝুঁকিতে আছে।

প্রশ্ন: আপনারা কি জানানো প্রতিটি দুর্বলতা প্রকাশ করেন?

উত্তর: না। আমরা আমাদের বিবেচনায় কোনো দুর্বলতা প্রতিবেদনের সমন্বয় বা প্রকাশ করতে অস্বীকার করতে পারি। এই সিদ্ধান্ত সাধারণত দুর্বলতার পরিধি ও তীব্রতা এবং সমন্বয় ও প্রকাশ প্রক্রিয়ায় মূল্য যোগ করার আমাদের সামর্থ্যের ওপর ভিত্তি করে হয়। আমরা সমন্বয় বা প্রকাশ করি বা না করি, আমরা প্রতিবেদককে সুপারিশ করি প্রকাশ্য প্রকাশের আগে প্রভাবিত বিক্রেতাকে অবহিত করতে এবং তাঁর সঙ্গে সরাসরি কাজ করতে সদিচ্ছায় চেষ্টা করুন।