Coordinated vulnerability disclosureCERT: zásady zveřejňování zranitelností
- Kontakt: ?
- Web: http://www.cert.org/vulnerability-analysis/vul-disclosure.cfm
- Ověřeno: 2017-09-21
Zranitelnosti nahlášené CERT/CC budou zveřejněny 45 dní po prvotním hlášení, bez ohledu na existenci nebo dostupnost záplat či náhradních řešení od dotčených dodavatelů. Polehčující okolnosti, jako je aktivní zneužívání, hrozby obzvláště závažné (nebo bagatelní) povahy či situace vyžadující změny zavedeného standardu, mohou vést k dřívějšímu nebo pozdějšímu zveřejnění. Zveřejnění provedená CERT/CC budou zahrnovat uvedení oznamovatele, pokud oznamovatel nepožádá jinak. Dotčené dodavatele budeme informovat o našich plánech publikace a v případě potřeby s nimi vyjednáme alternativní harmonogramy publikace.
Cílem těchto zásad je vyvážit potřebu veřejnosti být informována o bezpečnostních zranitelnostech s potřebou dodavatelů mít čas na efektivní reakci. Konečné určení harmonogramu publikace bude založeno na nejlepším zájmu komunity jako celku.
Zranitelnosti nahlášené nám budou předány dotčeným dodavatelům, jakmile to bude po obdržení hlášení prakticky možné. Jméno a kontaktní údaje oznamovatele budou předány dotčeným dodavatelům, pokud oznamovatel nepožádá jinak. Oznamovatele budeme informovat o významných změnách stavu jakékoli jím nahlášené zranitelnosti v rozsahu, v jakém je to možné bez odhalení informací, které nám byly poskytnuty důvěrně.
Zranitelnosti budou zveřejňovány ve Vulnerability Notes.
Hlášení zranitelností pro webové stránky vlády USA budou předávána US-CERT pro koordinaci s vládou.
Často kladené otázky
Q: Znamená to, že CERT/CC přechází na „full disclosure"?
A: Nebudeme distribuovat exploity, pokud to „full disclosure" znamená. Podle našich zkušeností je počet lidí, kteří mohou těžit z dostupnosti exploitů, malý ve srovnání s počtem lidí, kterým škodí ti, kdo exploity zneužívají se zlým úmyslem. Zveřejníme však informace o zranitelnostech, které bychom dříve možná nezveřejnili. V rámci našich zdrojů budeme zveřejňovat informace o co největším počtu zranitelností.
Q: Proč ne 30 dní, nebo 15 dní, nebo okamžitě?
A: Myslíme si, že 45 dní může být pro velkou organizaci poměrně náročný termín. Jeho zkrácení by realisticky problém nevyřešilo. Při absenci důkazů o zneužívání nemusí být bezdůvodné oznamování zranitelností v nejlepším zájmu veřejné bezpečnosti.
Q: Nebylo by lepší držet zranitelnosti v tajnosti, pokud není k dispozici oprava?
A: Zranitelnosti jsou běžně objevovány a zveřejňovány, často dříve, než měli dodavatelé spravedlivou příležitost poskytnout opravu, a zveřejnění často zahrnuje funkční exploity. Podle našich zkušeností, pokud nedochází k odpovědnému a kvalifikovanému zveřejňování informací o zranitelnostech, výzkumníci, programátoři, správci systémů a další IT profesionálové, kteří zranitelnosti objeví, se často domnívají, že nemají jinou možnost než informace zveřejnit ve snaze přimět dodavatele problém řešit.
Q: Budou všechny zranitelnosti zveřejněny do 45 dnů?
A: Ne. Často mohou nastat okolnosti, které nás přimějí upravit náš harmonogram publikace. Hrozby, které jsou obzvláště závažné nebo u nichž máme důkazy o zneužívání, pravděpodobně povedou ke zkrácení našeho harmonogramu vydání. Hrozby, které vyžadují „tvrdé" změny (změny standardů, změny základních komponent operačního systému), povedou k prodloužení našeho harmonogramu publikace. Nemusíme zveřejnit každou zranitelnost, která je nám nahlášena.
Q: Překvapíte dodavatele oznámeními o zranitelnostech?
A: Ne. Před veřejným zveřejněním vynaložíme v dobré víře úsilí, abychom dodavatele informovali o svých záměrech.
Q: Pokud dodavatel nesouhlasí s vaším posouzením problému, budou tyto informace k dispozici?
A: Ano. Žádáme o ověřená prohlášení dodavatelů a zveřejňujeme je a odkazujeme na relevantní informace dodavatelů ve vulnerability notes. Nebudeme zadržovat informace dodané dodavatelem jen proto, že nesouhlasí s naším posouzením problému.
Q: Kdo dostane informace před veřejným zveřejněním?
A: Obecně poskytujeme informace komukoli, kdo může přispět k řešení a s kým máme vztah důvěry, včetně dodavatelů (často včetně dodavatelů, jejichž produkty nejsou zranitelné), odborníků z komunity, sponzorů a webů, které jsou součástí národní kritické infrastruktury, pokud se domníváme, že jsou ohroženy.
Q: Zveřejňujete každou nahlášenou zranitelnost?
A: Ne. Můžeme podle vlastního uvážení odmítnout koordinovat nebo zveřejnit hlášení zranitelnosti. Toto rozhodnutí je obecně založeno na rozsahu a závažnosti zranitelnosti a na naší schopnosti přidat hodnotu procesu koordinace a zveřejnění. Ať už koordinujeme nebo zveřejňujeme, nebo ne, doporučujeme, aby oznamovatel vyvinul v dobré víře úsilí o upozornění a přímou spolupráci s dotčeným dodavatelem před veřejným zveřejněním.