Coordinated vulnerability disclosureNCSC.nl
1. Úvod
Společnost se stále více digitalizuje. V dnešní době téměř všechny procesy zahrnují v určitém okamžiku použití počítačů, od mobilních telefonů po specializovaný software. Ačkoli tento vývoj vytváří mnoho nových příležitostí, zranitelnosti v IT systémech mohou mít velký dopad. V důsledku toho by se se znalostmi o těchto zranitelnostech mělo nakládat efektivně.
Řada organizací začala na počátku roku 2013 zveřejňovat zásady o tom, jak hlásit zranitelnosti. Po konzultaci s těmito stranami shrnulo Národní centrum kybernetické bezpečnosti (National Cyber Security Centre, NCSC) vývoj ve formě „Pokynů pro dosažení praxe Responsible Disclosure" („Leidraad om te komen tot een praktijk van Responsible Disclosure"; „Pokyny"). Společnosti tímto způsobem dávají najevo, že jsou otevřeny přijímání externích hlášení zranitelností, popisují své předpoklady a dávají sliby. Tento proces vytvořil jasnost a poněkud bezpečné prostředí pro oznamovatele, aby zkoumali a hlásili zranitelnosti, aniž by se přímo dopustili trestného činu. Na zasedání EU na vysoké úrovni o kybernetické bezpečnosti v roce 2016 29 organizací znovu potvrdilo důležitost zásad pro nakládání se zranitelnostmi podpisem Manifestu koordinovaného zveřejňování zranitelností (Coordinated Vulnerability Disclosure Manifesto)1, který inicioval CIO Platform Netherlands a Rabobank ve spolupráci s NCSC.
Koordinované zveřejňování zranitelností (Coordinated Vulnerability Disclosure, CVD) se ukázalo jako velmi důležité pro veřejné i soukromé strany. Jsou velmi závislé na nerušeném fungování informačních systémů v každodenní praxi. Hlášení zranitelností v jejich systémech v posledních letech pomohla zlepšit bezpečnost a kontinuitu systémů, na jedné straně odstraňováním zranitelností a na druhé straně přispěním k obecnému povědomí nizozemských společností o IT bezpečnosti.
V posledních letech se ukázalo, že oznamovatelé jsou ochotni pracovat v rámci podmínek zásad CVD vypracovaných organizacemi. Hlášení jsou podávána přímo nebo nepřímo organizacím oznamovateli. Praxe odpovědného zveřejňování ukázala, že oznamovatelé s dobrými úmysly a zranitelné organizace dokázali spolupracovat a udělat tak další krok ke zvýšení bezpečnosti sítí a informačních systémů.
Pro tuto revizi jsme opět hovořili s širokou a různorodou skupinou oznamovatelů, soukromých i veřejných stran, a také s Veřejným žalobcem a Národní policií. Tyto rozhovory potvrdily současnou praxi a vedly k doplněním a vylepšením. Nejdůležitějším novým bodem pozornosti je komunikace mezi oznamovatelem zranitelnosti a organizací, stejně jako s dalšími stranami poté, co byla zranitelnost odstraněna.
Následující kapitoly se zabývají definicí CVD, stavebními kameny zásad CVD a komunikačním procesem.
Poznámka stranou: předchozí Pokyny používaly termín „responsible disclosure", který byl v té době běžným výrazem pro tuto praxi. Mezitím se ukázalo, že tento termín klade příliš velký důraz na odpovědnost oznamovatele, zatímco základním principem je, že oznamovatel a potenciálně zranitelná organizace by měli být v dialogu rovnocennými partnery. Tento postoj lépe vystihuje v současnosti běžně používaný termín „Coordinated Vulnerability Disclosure" (CVD), který je také názvem používaným v normách ISO 29147 a 30111 o tomto procesu.
2. Koordinovaná zranitelnost
V uplynulých 30 letech byly použity různé metody ke zvýšení povědomí o zranitelnostech v IT systémech. Příklady zahrnují:
„Full Disclosure", úplné zveřejnění zranitelnosti;
„Non-disclosure", prodej nebo vlastní využití zranitelnosti;
„Coordinated Vulnerability Disclosure" (CVD), koordinované zveřejnění zranitelnosti.
Poslední uvedená praxe je výslovně preferována.
IT komunita projevila velkou ochotu sdílet znalosti a zkušenosti. Hledání spolupráce s touto komunitou proto může pomoci zlepšit celkovou bezpečnost systémů.
Cíl koordinovaného zveřejňování zranitelností
Cílem CVD je přispívat k bezpečnosti IT systémů sdílením znalostí o zranitelnostech. V CVD jsou znalosti sdíleny s jednou nebo více potenciálně zranitelnými organizacemi, aby bylo ve spolupráci s oznamovatelem dosaženo společného řešení nalezené zranitelnosti. Je důležité, aby dotčené organizace měly dostatek času na odstranění jakýchkoli zranitelností nebo ochranu systémů, aby se ztráty či škody co nejvíce omezily nebo předešlo. Základním kamenem procesu je zveřejnění znalostí o zranitelnostech po jejich odstranění.
V CVD je nezbytné, aby všechny strany dodržovaly dohody o tom, jak hlásit zranitelnost a jak s ní naložit. Pomáhá, když organizace předem zveřejní předpoklady, například které systémy spadají do rozsahu a jaký druh výzkumu lze provádět. Důležitým principem pro tyto předpoklady je, že organizace v zásadě oznamovatele nenahlásí ani nepodnikne jiné právní kroky, pokud je zkoumání a hlášení prováděno v rámci stanovených podmínek. Tyto Pokyny poskytují organizacím vodítko při tvorbě vlastních zásad, které ztělesňují principy CVD.
Jak název napovídá, v CVD je ústřední, že se organizace a oznamovatel mezi sebou koordinují. V tomto ohledu by mělo být mezi osobou hlásící zranitelnost a osobou v organizaci odpovědnou za řešení problému co nejméně článků.
Může být důležité informovat několik stran současně, pokud zranitelnost ovlivňuje mnoho systémů. V takovém případě mohou NCSC nebo jiné strany v bezpečnostní komunitě podpořit proces CVD z koordinační role.
3. Oblasti odpovědnosti
Cílem uplatňování zásad CVD je, aby oznamovatelé a organizace spolupracovali na snížení zranitelností v IT systémech. Zavedení těchto zásad by mělo být chápáno jako doplněk stávajících opatření v oblasti informační bezpečnosti. Různí aktéři mají každý svou roli a odpovědnosti. Ty jsou podrobněji vysvětleny níže.
Organizace, která systém vlastní/spravuje
Organizace, která systém vlastní/spravuje nebo dodává, je primárně odpovědná za bezpečnost tohoto systému. Jinými slovy, organizace je také odpovědná za následné řešení hlášení zranitelnosti.
Organizace se může rozhodnout vypracovat vlastní zásady CVD podle těchto Pokynů a komunikovat tyto zásady s potenciálními oznamovateli. Zveřejněním zásad CVD organizace projevují ochotu přijímat informace o zranitelnostech.
Strana, která zavádí zásady CVD, se může zavázat k principu, že nepodá trestní oznámení na policii, pokud jsou dodržována pravidla, která se na zásady vztahují.
Jakmile oznamovatel zranitelnost nahlásí, odpovědnost leží na organizaci. Je důležité si uvědomit, že oznamovatel je často někdo mimo organizaci. Tato strana nemá přímý přehled o interních procesech, které mohou být po nahlášení zranitelnosti spuštěny. V důsledku toho oznamovatelé ocení, když jsou informováni o vývoji při řešení zranitelnosti. Tato průběžná komunikace je důležitá také pro vytvoření správných očekávání ohledně následných kroků a včasnosti řešení.
Strana hlásící zranitelnost
Tak či onak byl oznamovatel schopen identifikovat zranitelnost a chce přispět k bezpečnosti IT systémů tím, že zajistí odstranění této zranitelnosti a případně její pozdější zveřejnění. Oznamovatel mohl něco objevit pasivním pozorováním nebo aktivním testováním IT systému. Tato strana je samozřejmě odpovědná za své jednání a způsob, jakým zranitelnost objevila. Je to vlastní odpovědnost oznamovatele znát podmínky stanovené organizací v jejích zásadách CVD. Většina vlád a společností zveřejnila své zásady CVD na svých webových stránkách.
Hledání zranitelností však může zahrnovat porušení zákona. V kontextu CVD se organizace a oznamovatel mohou dohodnout, že nepodají oznámení o jakýchkoli trestných činech. V tomto ohledu jsou zásady CVD zveřejněné organizací vodícím principem. Strany se mohou také dohodnout, že nebudou podniknuty žádné občanskoprávní kroky.
Pokud existuje podezření, že oznamovatel porušil zákon, mohou zásady CVD v první řadě pomoci zabránit tomu, aby byl oznamovatel nahlášen úřadům. Tento postup závisí zcela na předpokladech zásad, jejichž dodržování organizace od oznamovatele vyžaduje, a na tom, zda bylo tohoto dodržování dosaženo, případně s odpovídajícím slibem nepodat trestní oznámení, pokud strana jedná v rámci podmínek zásad. Pokud je podáno oznámení na policii, je existence zásad CVD a jejich dodržování v Nizozemsku relevantní okolností, kterou státní zástupce zohlední při rozhodování, zda zahájit trestní vyšetřování a/nebo stíhat. V zásadě policie a státní zastupitelství (OM) nezahájí trestní vyšetřování, pokud oznamovatel jednoznačně dodržel pravidla zásad CVD dotčené organizace. Státní zastupitelství a policie však mohou případ dále vyšetřovat, pokud existují náznaky, že oznamovatel při svém jednání vědomě či nevědomě zašel příliš daleko a/nebo nedodržel zásady CVD. Na základě tohoto vyšetřování může státní zastupitelství rozhodnout, zda stíhat.
Státní zastupitelství zveřejnilo dopis o zásadách, v němž se zabývá konkrétněji aspekty, které jsou důležité při rozhodování o vyšetřování a/nebo stíhání. Například zda jednání oznamovatele sloužilo důležitému veřejnému zájmu, zda strana jednala nepřiměřeně a zda strana mohla snad jednat jiným, méně drastickým způsobem. Příslušný dopis o zásadách tyto aspekty dále rozvádí.2 Příslušná judikatura od roku 20133 ukazuje, že tyto aspekty jsou zohledňovány i u soudu, pokud organizace nemá zásady CVD.
4. Stavební kameny procesu koordinovaného zveřejňování zranitelností
Níže jsou uvedeny stavební kameny pro utváření procesu CVD pro organizaci, oznamovatele a NCSC.
Organizace
Podpora CVD začíná u organizace, která vlastní IT systémy nebo která dodává IT produkt/systém. Tato organizace je totiž primárně odpovědná za informační bezpečnost těchto IT systémů. Aby mohla efektivně spolupracovat s různými stranami na řešení zranitelností, může se organizace rozhodnout vypracovat a zveřejnit zásady CVD. Vypracování vlastních zásad CVD umožňuje organizaci ukázat, jak nakládá s hlášeními zranitelností. Tímto způsobem může organizace také utvářet způsob, jakým si přeje přijímat oznámení. Takový proces může být organizován následovně:
Organizace stanoví a zveřejní zásady CVD.
V těchto zásadách organizace poskytuje jasná pravidla pro výzkum, který mohou oznamovatelé provádět, například které techniky jsou povoleny a které systémy jsou v rozsahu nebo mimo něj.
Organizace oznamovateli usnadní podání hlášení. Jednou z možností je použití standardizovaného způsobu hlášení; například konkrétní e-mailová adresa nebo online formulář. Organizace se navíc může rozhodnout, zda přijímat anonymní hlášení.
Organizace vyhradí interní kapacitu a zavede proces, aby na hlášení adekvátně reagovala. Je vhodné zavést proces, pomocí kterého lze případné nalezené zranitelnosti adekvátně odstranit. V tomto ohledu je původ hlášení irelevantní. Zranitelnost mohl také identifikovat interní zaměstnanec nebo například během testu.
Praktické zkušenosti ukazují, že po úvodním zveřejnění zásad CVD bude větší zájem hlásit zranitelnosti organizaci. Organizace by to měla zvážit při plánování (dodatečné) kapacity.
Když organizace obdrží hlášení zranitelnosti, zajistí, aby hlášení co nejdříve dosáhlo oddělení, které je nejlépe vybaveno k jeho posouzení a řešení.
Organizace zašle oznamovateli potvrzení o přijetí hlášení, nejlépe digitálně podepsané, aby byla zdůrazněna priorita.
Následně organizace vstoupí do konzultace s oznamovatelem, aby stanovila lhůtu, ve které proběhne případné zveřejnění. Tato lhůta bude silně záviset na povaze zranitelnosti a typu systému.
Jako vodítko se u softwarových zranitelností často používá lhůta přibližně 60 dnů. Odstraňování zranitelností v hardwaru je obtížnější; lze použít vodítko 6 měsíců.
Může být žádoucí tuto lhůtu vzájemnou dohodou prodloužit nebo zkrátit v závislosti na tom, kolik nebo kolik málo IT systémů závisí na systému, pro který byla zranitelnost nahlášena, nebo zda je zranitelnost snazší či obtížnější vyřešit.
Zranitelnost se může ukázat jako obtížně nebo nemožně řešitelná, nebo s jejím řešením mohou být spojeny vysoké náklady. V takových případech se organizace může dohodnout, že zranitelnost bude považovat za akceptované riziko a nebude ji odstraňovat, případně po konzultaci s oznamovatelem.
Organizace bude oznamovatele informovat o vývoji procesu.
Organizace navíc může nabídnout, že oznamovatel bude veřejně uznán za zveřejnění zranitelnosti. Je také možné zvolit společné zveřejnění vůči vnějšímu světu.
Je vhodné oznamovatele odměnit za hlášení zranitelností v systémech, pokud strana dodržela pravidla zásad CVD. Výše odměny může záviset na kvalitě hlášení. Odměňování oznamovatele může vytvořit lepší vztah mezi touto stranou a organizací a také zvýšit ochotu lidí podávat nová hlášení v souladu se zásadami CVD.
Po konzultaci s oznamovatelem se organizace může dohodnout, že informuje širší IT komunitu o zranitelnosti, pokud je pravděpodobné, že se zranitelnost vyskytuje i jinde.
Ve svých zásadách CVD se organizace může zavázat k principu, že nepodá trestní oznámení na policii, pokud oznamovatel dodržel pravidla uvedená v zásadách.
Oznamovatel
Oznamovatel je klíčem k úspěšnému procesu CVD. Tak či onak byla tato strana schopna identifikovat zranitelnost a chce přispět k bezpečnosti IT systémů tím, že zajistí odstranění této zranitelnosti organizací a její zveřejnění. Tím oznamovatelé uznávají, že mohou významně přispět společnosti odhalováním zranitelností koordinovaným způsobem. Pro dosažení úspěšného procesu CVD jsou pro oznamovatele důležité následující stavební kameny:
Oznamovatel je odpovědný za své jednání a musí dodržovat principy přiměřenosti a subsidiarity při zkoumání a hlášení zranitelností. Jinými slovy, oznamovatel by neměl dělat více, než je nutné k prokázání zranitelnosti, a měl by zranitelnost vždy nejprve nahlásit vlastníkovi systému/informací.
Oznamovatel musí problém nahlásit co nejdříve, aby zabránil škodlivým stranám objevit zranitelnost a využít jí.
Oznamovatel musí hlášení organizaci podat důvěrným způsobem, aby zabránil ostatním v přístupu k těmto informacím.
Oznamovatel nesmí podání hlášení ani další poskytování informací podmiňovat odměnou. Iniciativa k udělení odměny v případě hlášení leží na přijímající organizaci, která může uvést předpoklady ve svých zveřejněných zásadách.
Oznamovatel a organizace uzavřou jasné dohody o zveřejnění zranitelnosti. Pokud je zapojena více než jedna organizace, základním principem je, že zranitelnosti lze zveřejnit, pouze pokud s tím všechny organizace souhlasí. Uzavření těchto dohod v rané fázi je vhodné.
Oznamovatel a příslušná organizace mohou uzavřít dohody o informování širší IT komunity. Například tato situace se může týkat zranitelnosti (ať už již známé, nebo ne), o které je známo, že je přítomna na více než jednom místě. Národní centrum kybernetické bezpečnosti (NCSC) může být do tohoto procesu zapojeno, aby podpořilo cílové skupiny ústřední vlády a kritické infrastruktury nebo aby informovalo několik stran v případě zranitelnosti, která ovlivňuje mnoho systémů.
NCSC
Proces CVD je primárně záležitostí organizací a oznamovatelů. Nicméně NCSC bude používání procesu CVD podporovat. Po konzultaci s oznamovatelem a organizací může být NCSC také zapojeno do sdílení informací o zranitelnosti se svou klientelou, aby se omezila další bezpečnostní rizika vyplývající ze zranitelnosti.
Pokud hlášení zranitelnosti neprobíhá tak, jak oznamovatel očekává, nebo pokud by raději nehlásil zranitelnost přímo organizaci, může kontaktovat NCSC.4 V tomto případě může NCSC v případě potřeby jednat jako zprostředkovatel.
Vlastník IT systému je vždy odpovědný za bezpečnost systému. NCSC nemůže přinutit vlastníka systému, aby zranitelnost odstranil, ani nemůže zaručit, že vlastník nepodnikne právní kroky proti oznamovateli. V důsledku toho musí oznamovatel při hledání a hlášení zranitelnosti brát v úvahu výše uvedené stavební kameny pro organizace a oznamovatele. Oznamovatel může očekávat, že NCSC udělá maximum pro odstranění zranitelnosti a bude s hlášením nakládat důvěrně. NCSC nesdílí žádné osobní údaje, pokud k tomu není ze zákona povinno.
Pokud je to možné, NCSC použije získané informace o zranitelnostech po konzultaci s organizacemi a oznamovateli k dalšímu sdílení znalostí s IT komunitou. Může tak učinit například zveřejněním části informací, napsáním či aktualizací informačního listu (fact sheet) nebo bílé knihy (white paper) nebo informováním konkrétních organizací.
V závislosti na dotčené organizaci a povaze zjištěné zranitelnosti vyvine NCSC úsilí, aby zranitelnost upozornilo dotčenou organizaci. Vlastník dotčeného IT systému však za systém zůstává odpovědný.
Kde je to možné a nutné, poskytne NCSC dotčené organizaci radu, jak zranitelnost odstranit.
NCSC bude s hlášeními nakládat důvěrně a nebude sdílet osobní údaje oznamovatelů ani přijímající organizace bez souhlasu, pokud to nevyplývá ze zákonné povinnosti.
Kdekoli je to možné, bude NCSC informovat oznamovatele o vývoji v kontaktu s organizací a odstraňování zranitelnosti.
V případech, kdy je hlášení podáno NCSC, se NCSC pokusí navázat kontakt mezi oznamovatelem nebo potenciálním oznamovatelem a organizací.
Pokud oznamovatel našel zranitelnost v softwarovém produktu nebo zranitelnost, která ovlivňuje například mnoho různých systémů, může oznamovatel požádat NCSC, aby koordinovalo odstranění a zveřejnění zranitelnosti.
Společně s oznamovatelem, partnery, vývojáři a/nebo softwarovými vývojáři a dalšími bezpečnostními týmy pomůže NCSC zranitelnost analyzovat, odstranit nebo nechat odstranit, koordinovat a řízeným způsobem zveřejnit. Celý tento proces probíhá v úzké konzultaci s oznamovatelem, který zranitelnost našel.
Zásady CVD se snaží najít rovnováhu mezi důležitostí zveřejnění zranitelností co nejdříve, aby bylo možné přijmout opatření, a důležitostí toho, aby vývojáři i dodavatelé měli dostatek času na odstranění zranitelnosti. Pro tento proces používá NCSC standardní lhůtu 60 dnů mezi hlášením a veřejným zveřejněním. Mohou však nastat okolnosti, za kterých může být rozhodnuto tuto lhůtu prodloužit nebo zkrátit.
NCSC bude sdílet informace o zranitelnosti s třetími stranami pouze po konzultaci s oznamovatelem. V tomto kontextu je nezbytné, aby NCSC spolupracovalo a sdílelo tedy informace o zranitelnosti se zainteresovanými stranami, aby zranitelnost zveřejnilo koordinovaným způsobem. NCSC tím zajistí, že správné strany mohou pracovat na odstranění zranitelnosti, pomůže omezit případné ztráty či škody a pomůže upozornit na nalezenou zranitelnost.
5. Komunikace a proces zveřejnění
Pět let praxe ukázalo, že jasná komunikace je základním kamenem úspěšného procesu CVD. Existují body pozornosti před procesem CVD, během něj a po něm.
Komunikace o procesu zveřejnění
Zveřejnění zásad CVD je prvním krokem v komunikaci o procesu. Veřejným zveřejněním zásad jsou oznamovatelé vyzváni, aby organizaci oznámili jakékoli nalezené zranitelnosti.
Na jedné straně může organizace stanovit podmínky pro výzkum prováděný k objevení zranitelností a způsob, jakým se hledá kontakt. Na druhé straně se organizace může zavázat k principu, že nepodá trestní oznámení na policii, pokud jsou pravidla zásad dodržována. Tento přístup chrání postavení oznamovatele.
Zásady CVD mohou být později změněny nebo aktualizovány. Je důležité být jasný ohledně změn v tomto ohledu. Oznamovatelé mají zájem vědět, co bylo změněno a kdy. Například změny lze objasnit uvedením data zveřejnění na začátku zásad CVD, popisem shrnutí změn pod zásadami CVD nebo vedením archivu starých verzí zásad CVD.
Zásady CVD mohou poskytovat pokyny, jak komunikovat během procesu, například uvedením pravidelných aktualizací e-mailem nebo přes webový portál. Kromě toho mohou zásady CVD popisovat, jak může být oznamovatel uznán zmínkou o něm při aktualizaci, přijetím do síně slávy (hall of fame) nebo jakoukoli jinou formou odměny.
Komunikace během procesu zveřejnění
Oznamovatel zahajuje proces CVD odesláním zprávy organizaci. V této zprávě oznamovatel jasně popíše objevenou zranitelnost. Důležitými prvky jsou IP adresa nebo URL dotčeného systému a kroky nezbytné k reprodukci zranitelnosti.
Pro organizaci je důležité jasně komunikovat s oznamovatelem, aby očekávání ohledně procesu byla jasná.
Může tak učinit již odesláním potvrzení o přijetí (automatického či jiného), které obsahuje údaj o lhůtě, v níž bude odeslána první nebo následná věcná odpověď.
Je také možné tuto lhůtu ponechat otevřenou a první údaj o lhůtě poskytnout po posouzení obsahu hlášení. Je vhodné co nejdříve jasně sdělit lhůtu, v níž lze dosáhnout řešení. Tímto způsobem oznamovatel ví, kdy může očekávat výsledek.
V některých případech je možné, že datum zveřejnění je oznamovateli již jasné; například kvůli prezentaci na konferenci nebo protože si oznamovatel stanovil vlastní lhůtu. V tomto případě je stále důležité, aby oznamovatel tento harmonogram jasně sdělil, uvedl ho co nejdříve a byl jasný ohledně možnosti/nemožnosti odložení tohoto data.
Oznamovatel je často někdo mimo organizaci, kdo nemá vhled do interních procesů, které může hlášení spustit. Organizace mohou oznamovatele informovat o vývoji procesu pravidelnými aktualizacemi. Tento přístup oznamovateli jasně ukazuje, že se na řešení pracuje. V případě potřeby může organizace během procesu požádat o vysvětlení nebo o otestování řešení.
Pokud organizace nemůže dodržet počáteční termín vyřešení, lze s oznamovatelem projednat jeho odložení. Pravidelná komunikace může tuto situaci oznamovateli objasnit v dřívější fázi.
Hlavním záměrem CVD je zmírnit zranitelnost, ale „full disclosure" zranitelnosti je pro oznamovatele vždy možností, pokud cítí, že proces potrvá příliš dlouho. Toto opatření je pověstný „velký klacek" (big stick), který má oznamovatel k dispozici. Přirozeně je třeba této situaci co nejvíce předejít.
Komunikace po procesu zveřejnění
Existuje mnoho možných důvodů, proč by oznamovatel mohl hledat zranitelnosti a poté je hlásit organizacím prostřednictvím procesu CVD. Pro velký počet oznamovatelů je důležitým motivem (veřejné) uznání.
Oznamovatelé získávají veřejné uznání poděkováním v aktualizaci nebo zápisem do síně slávy (hall of fame). Potřeba veřejného uznání však neplatí pro všechny oznamovatele; někteří ve skutečnosti nechtějí být veřejnosti známi. V případě komunikace ze strany organizace je proto vhodné získat souhlas oznamovatele s jeho jmenováním.
Kromě toho se oznamovatelé mohou také rozhodnout o hlášení komunikovat po dokončení procesu CVD. Například oznamovatel může popsat proces objevu nebo varovat ostatní před zranitelností. Oznamovatel se může rozhodnout předložit publikaci organizaci pro informační účely. Jelikož je proces CVD v zásadě dokončen po odstranění zranitelnosti, je oznamovatel poté volný o ní komunikovat, pokud nejsou v zásadách nebo během procesu uzavřeny dodatečné dohody.
Seznam
Komunikace o procesu zveřejnění
Zveřejnění zásad CVD na webu
Jasnost ohledně omezení (různé přístupy viz kapitola 6)
Omezení vyšetřovacích metod
Pokyny ohledně komunikace
Pokyny ohledně možných odměn: síň slávy (hall of fame), finanční odměna, tričko atd.
Jasnost ohledně jakýchkoli aktualizací zásad CVD, včetně data změn
Komunikace během procesu zveřejnění
Oznamovatel kontaktuje organizaci ohledně objevené zranitelnosti.
Organizace řídí očekávání, například dobu odezvy pro první technickou odpověď
Organizace a oznamovatel si vzájemně poskytnou jasnost ohledně očekávané doby řešení
Organizace často poskytuje (procesní) aktualizaci
V případě potřeby oznamovatel a organizace projednají kontaktování dalších relevantních organizací
Komunikace po procesu zveřejnění
Projednat (veřejné) uznání a odměnu oznamovatele
Dohodnout, jak budou informace o zranitelnosti zveřejněny, například fáze výzkumu nebo informování dalších organizací
6. Příklady zásad koordinovaného zveřejňování zranitelností
Existuje mnoho různých forem textů zásad o koordinovaném zveřejňování zranitelností. Protože zveřejněné zásady CVD slouží jako ukazatel pro potenciální oznamovatele, zajistěte, aby forma těchto zásad byla v souladu s politikou a strategií organizace.
V zásadách CVD jsou důležité následující prvky:
kontaktní metoda pro zabezpečenou komunikaci;
předpoklady pro oznamovatele;
jasná očekávání ohledně nakládání s hlášením;
metoda odměňování hlášení;
číslo verze a datum poslední revize.
Níže jsou tři příklady: Mnoho organizací v Nizozemsku čerpalo ze základního příkladu ResponsibleDisclosure.nl. Jiné organizace zahrnují dodatečné předpoklady, viz zásady Fox IT. Ještě jiné organizace používají volnější formát, aby vyhovovaly své cílové skupině, viz zásady Bits of Freedom.
Příklad: ResponsibleDisclosure.nl
Tento text napsala Floor Terra a je zveřejněn pod licencí Creative Commons Attribution 3.0 Unported.
V Acme Corporation považujeme bezpečnost našich systémů za nejvyšší prioritu. Ale bez ohledu na to, kolik úsilí věnujeme bezpečnosti systémů, mohou stále existovat zranitelnosti.
Pokud objevíte zranitelnost, rádi bychom o ní věděli, abychom mohli podniknout kroky k jejímu co nejrychlejšímu vyřešení.
Rádi bychom vás požádali o pomoc při lepší ochraně našich klientů a našich systémů.
Prosíme, udělejte následující:
Pošlete své nálezy e-mailem na cert@example.com. Zašifrujte své nálezy naším PGP klíčem, abyste zabránili tomu, aby tyto kritické informace padly do nesprávných rukou,
Nezneužívejte zranitelnost ani problém, který jste objevili, například stažením více dat, než je nutné k demonstraci zranitelnosti, nebo smazáním či úpravou dat jiných lidí,
Neodhalujte problém ostatním, dokud nebude vyřešen,
Nepoužívejte útoky na fyzickou bezpečnost, sociální inženýrství, distribuované odepření služby, spam ani aplikace třetích stran, a
Poskytněte dostatek informací k reprodukci problému, abychom ho mohli vyřešit co nejrychleji. Obvykle postačí IP adresa nebo URL dotčeného systému a popis zranitelnosti, ale složité zranitelnosti mohou vyžadovat další vysvětlení.
Co slibujeme:
Na vaše hlášení odpovíme do 3 pracovních dnů s naším vyhodnocením hlášení a očekávaným datem vyřešení,
Pokud jste dodrželi výše uvedené pokyny, nepodnikneme proti vám v souvislosti s hlášením žádné právní kroky,
Vaše hlášení budeme zpracovávat s přísnou důvěrností a nepředáme vaše osobní údaje třetím stranám bez vašeho svolení,
Budeme vás informovat o pokroku při řešení problému,
Ve veřejných informacích týkajících se nahlášeného problému uvedeme vaše jméno jako objevitele problému (pokud si nepřejete jinak), a
Jako výraz vděčnosti za vaši pomoc nabízíme odměnu za každé hlášení bezpečnostního problému, který nám dosud nebyl znám. Výše odměny bude určena na základě závažnosti úniku a kvality hlášení. Minimální odměnou bude dárkový poukaz v hodnotě 50 €.
Snažíme se vyřešit všechny problémy co nejrychleji a rádi bychom hráli aktivní roli v konečné publikaci o problému poté, co bude vyřešen.
Příklad: Fox-IT
Ve společnosti Fox-IT považujeme bezpečnost našich systémů, naší sítě a našich produktů za nanejvýš důležitou. Navzdory velké péči, kterou bezpečnosti věnujeme, mohou slabá místa stále zůstat. Pokud jste takovou slabinu našli, rádi bychom se o ní dozvěděli co nejdříve, abychom mohli co nejrychleji přijmout vhodná opatření.
Slabá místa lze objevit dvěma způsoby: můžete náhodou na něco narazit při běžném používání digitálního prostředí, nebo se je můžete výslovně snažit najít.
Naše zásady odpovědného zveřejňování nejsou pozvánkou k aktivnímu skenování naší podnikové sítě za účelem objevování slabých míst. Svou podnikovou síť monitorujeme sami. To znamená, že je vysoká pravděpodobnost, že skenování bude odhaleno a že bude provedeno vyšetřování naším Security Operation Center (SOC), což by mohlo vést ke zbytečným nákladům. Jste však zváni, abyste aktivně hledali zranitelnosti v našich produktech v offline neprodukčním prostředí a své nálezy nám hlásili. Naše odpovědnost vůči zákazníkům znamená, že naším záměrem není podporovat pokusy o hackerské útoky na jejich infrastrukturu; rádi bychom se však od vás dozvěděli co nejdříve, pokud budou zranitelnosti nalezeny, abychom je mohli adekvátně vyřešit.
Rádi bychom s vámi spolupracovali, abychom mohli lépe chránit naše zákazníky a naše systémy.
Žádáme vás, abyste:
Své nálezy co nejrychleji zaslali e-mailem na security-alert@fox-it.com.
Nezneužívali zranitelnost; například stahováním, úpravou nebo mazáním dat. Vaše hlášení vždy vezmeme vážně a prošetříme jakékoli podezření na zranitelnost, i bez důkazů.
Nesdíleli problém s ostatními, dokud nebude vyřešen.
Nepoužívali útoky na fyzickou bezpečnost, sociální inženýrství ani hackerské nástroje, například skenery zranitelností.
Poskytli dostatečné informace k reprodukci problému, abychom ho mohli vyřešit co nejrychleji. Obvykle postačí IP adresa nebo URL dotčeného systému a popis zranitelnosti, ačkoli u složitějších zranitelností mohou být zapotřebí další informace.
Co slibujeme:
Na vaše hlášení odpovíme do tří pracovních dnů s naším vyhodnocením hlášení a očekávaným datem vyřešení.
Vaše hlášení budeme zpracovávat důvěrně a nebudeme sdílet vaše osobní údaje s třetími stranami bez vašeho svolení. Výjimkou jsou policie a soudnictví v případě stíhání nebo pokud jsou informace vyžádány.
Budeme vás informovat o pokroku při řešení problému.
Při komunikaci o nahlášeném problému uvedeme vaše jméno jako stranu, která problém objevila, pokud si to přejete.
Bohužel není možné předem zaručit, že proti vám nebudou podniknuty žádné právní kroky. Doufáme, že budeme moci posuzovat každou situaci individuálně. Považujeme se za morálně zavázané vás nahlásit, pokud máme podezření, že je slabina nebo data zneužívána, nebo že jste sdíleli znalost slabiny s ostatními. Můžete si být jisti, že náhodný objev v našem online prostředí nepovede k trestnímu stíhání.
Jako poděkování za vaši pomoc nabízíme odměnu za každé hlášení bezpečnostního problému, který nám není znám. Hodnotu odměny určujeme na základě závažnosti narušení a kvality hlášení.
Snažíme se vyřešit všechny problémy co nejrychleji, informovat všechny zúčastněné strany a rádi bychom byli zapojeni do jakékoli publikace o problému poté, co bude vyřešen.
Příklad: Bits of Freedom
Naše závislost na digitální infrastruktuře neustále roste. To platí pro společnost jako celek, ale také pro nás samotné. Je proto naším názorem, že vlády a organizace (včetně té naší) by se měly rozhodně zavázat k zabezpečení naší digitální infrastruktury. Uvědomujeme si, že navzdory našim nejlepším úmyslům a největší péči mohou v našich systémech existovat zranitelnosti. Pokud na některou z těchto slabin narazíte, rádi se o ní dozvíme, abychom mohli problém vyřešit.
Co od vás očekáváme
Když zkoumáte jeden z našich systémů, mějte na paměti přiměřenost útoku. Není třeba dokazovat, že když náš web podrobíte největšímu DDoS útoku v historii internetu, může se stát nedostupným. My to víme. Chápeme také, že pokud vjedete buldozerem do naší kanceláře, pravděpodobně se vám podaří uchvátit jeden z našich notebooků.
Tato zásada přiměřenosti je relevantní i při demonstraci samotné zranitelnosti. Neměli byste prohlížet ani upravovat více dat, než je nezbytně nutné k potvrzení platnosti vašeho nálezu. Například pokud dokážete upravit naši domovskou stránku, přidejte na ni jen jediné nekontroverzní slovo místo přebírání celé stránky. Pokud se dostanete k databázi, stačí nám ukázat seznam tabulek, které v ní jsou, nebo třeba první záznam v jedné z těchto tabulek.
Zranitelnost v jednom z našich systémů by měla být nahlášena co nejdříve zasláním e-mailu na security@bof.nl. Nejlépe svou zprávu zašifrujte pomocí OpenPGP. Poskytněte dostatek informací, abychom mohli problém reprodukovat a prošetřit.
Veřejný klíč OpenPGP pro security@bof.nl
Nebudete sdílet své znalosti o zranitelnosti s jinými stranami, dokud jsme problém neřešili a stále jsme v přiměřené lhůtě od doby, kdy jste problém nahlásili.
Smažete všechny důvěrné informace, které jste získali během svého zkoumání, jakmile zranitelnost vyřešíme.
Co můžete očekávat od nás
Na vaše hlášení odpovíme do tří dnů podrobně. Zahrneme odhad času, který budeme potřebovat k řešení problému. Samozřejmě vás budeme pravidelně informovat o našem pokroku.
Zranitelnost vyřešíme co nejdříve. I zde je přiměřenost důležitá: doba potřebná k opravě zranitelnosti závisí na několika faktorech, mezi nimi na závažnosti a složitosti daného problému.
Pokud se budete řídit zde uvedenými zásadami, nepodnikneme proti vám v souvislosti s vaším hlášením žádné právní kroky.
Je pro nás důležité uvést vaši zásluhu za to, co jste udělali – pokud si to přejete. Vaše jméno uvedeme v publikaci o zranitelnosti pouze s vaším souhlasem.
Jako poděkování za pomoc při lepší ochraně našich systémů bychom rádi odměnili každé hlášení zranitelnosti, která nám v té době nebyla známa. Odměna bude záviset na závažnosti zranitelnosti a kvalitě hlášení.
Pokud najdete zranitelnost v softwaru třetí strany, který používáme, a tato zranitelnost je pokryta programem bug bounty, nebudeme se snažit si tuto odměnu nárokovat; měli byste ji nárokovat vy.