Coordinated vulnerability disclosure

Datgelu cydgysylltiedig o wendidau (CVD)

Sut i adrodd am wendidau diogelwch, eu derbyn a'u cydgysylltu, gyda pholisïau enghreifftiol.

Term diogelwch cyfrifiaduron yw datgelu cydgysylltiedig o wendidau (coordinated vulnerability disclosure, CVD). Mae'n disgrifio sut gall pobl rannu adroddiadau am broblemau diogelwch. Enghreifftiau yw adroddiadau am wallau, risgiau ymyrraeth, rhybuddion hacio, gollyngiadau data, torri i mewn i wefannau, ac ati.

Cyfieithiadau: العربية, Български, বাংলা, Čeština, Cymraeg, Dansk, Deutsch, Ελληνικά, English, Español, Eesti, Euskara, فارسی, Suomi, Français, Gaeilge, Gàidhlig, ગુજરાતી, Hausa, עברית, हिन्दी, Hrvatski, Magyar, Bahasa Indonesia, Íslenska, Italiano, 日本語, 한국어, Lietuvių, Latviešu, Nederlands, Polski, Português, Română, Русский, Slovenčina, Slovenščina, Svenska, Kiswahili, ไทย, Türkçe, Українська, اردو, Tiếng Việt, 中文

Cynnwys:

Polisïau:

Cyflwyniad

Mae'r ddogfen hon yn egluro datgelu cydgysylltiedig o wendidau mewn ffyrdd a all helpu pobl i weithio gyda'i gilydd.

Nodau'r ddogfen:

  1. Helpu pobl sy'n darganfod problemau diogelwch ac sydd am adrodd amdanynt.

  2. Helpu cynrychiolwyr cwmnïau i ddeall anghenion, nodau, arferion ac achosion arbennig datgelu cyfrifol.

  3. Cynnwys polisïau enghreifftiol ar gyfer datgelu cydgysylltiedig o wendidau yn ffolder y storfa.

Croesawn geisiadau tynnu (pull requests), neu faterion GitHub, neu e-bost i security@joelparkerhenderson.com.

Beth yw datgelu cydgysylltiedig o wendidau?

Mae datgelu cydgysylltiedig o wendidau yn disgrifio tri cham pan fydd rhywun yn darganfod problem diogelwch (megis gwall meddalwedd) ac eisiau adrodd amdani wrth y cynhyrchydd (megis y cwmni sy'n gwneud y feddalwedd).

Camau:

  1. Mae'r darganfyddwr yn adrodd am y broblem yn breifat ac yn ddidwyll wrth y cynhyrchydd.

  2. Mae'r cynhyrchydd yn ceisio amddiffyn defnyddwyr yn ddidwyll ac yn ceisio mynd i'r afael â'r broblem.

  3. Ar ôl cyfnod penodol o amser, caiff y broblem diogelwch ei gwneud yn gyhoeddus.

Cam 1: Adrodd am y broblem

Cam 1 yw gwaith y darganfyddwr: adrodd am y broblem yn breifat ac yn ddidwyll.

  • Da: Mae'r darganfyddwr yn anfon y wybodaeth berthnasol at y cynhyrchydd, er enghraifft drwy e-bost i gyfeiriad e-bost diogelwch y cynhyrchydd (fel arfer "security@example.com") neu drwy ffurflen we ar wefan y cynhyrchydd (fel arfer "https://www.example.com/security").

  • Drwg: postio'r adroddiad ar flog cyhoeddus, neu hysbysu'r cyfryngau, neu fygythiadau, neu ymdrechion i werthu'r broblem diogelwch i hacwyr, ac ati.

  • Awgrym: gall y darganfyddwr ddewis bod yn ddienw; gall y cynhyrchydd hefyd ddewis bod yn ddienw.

Os dymunwch, daliwch i fod yn ymwybodol o'r broblem.

  • Da: agor llinellau cyfathrebu, neu ddarparu gwybodaeth ddilynol, neu fonitro'r sefyllfa.

  • Drwg: anghofio am y broblem.

  • Awgrym: gall y darganfyddwr ddewis helpu ai peidio, a gall ddewis cyfathrebu ai peidio, a gall hefyd ddewis newid y trefniant os bydd amgylchiadau'n newid.

Os dymunwch, datgelwch y broblem i eraill.

  • Da: aros am yr amser penodedig ac yna mynd yn gyhoeddus, megis postio'r wybodaeth berthnasol i wefan newyddion diogelwch, neu gysylltu ag ymchwilwyr diogelwch trydydd parti perthnasol, neu gyhoeddi'r broblem ar unrhyw safle cymdeithasol cyhoeddus, ac ati.

  • Drwg: peidio â datgelu'r broblem i eraill, oni bai eich bod yn teimlo y byddai'n achosi mwy na'r swm cymharol o risg i chi'ch hun neu i eraill.

  • Awgrym: os bydd amgylchiadau'n newid, megis darganfod risg uwch neu ecsbloetiad gweithredol ar led, yna gall y darganfyddwr ddatgelu'r broblem i eraill yn gynt.

Cam 2: Sicrhau cysylltiadau

Cam 2 yw gwaith y cynhyrchydd: sicrhau bod cysylltiadau'n ymarferol.

  • Da: Mae'r cynhyrchydd yn cyhoeddi cyfeiriad e-bost cyswllt diogelwch (yn ôl y confensiwn "security@example.com") ac yn ddelfrydol allwedd amgryptio e-bost diogel.

  • Da: Mae'r cynhyrchydd yn cyhoeddi tudalen we cyswllt diogelwch (yn ôl y confensiwn "https://www.example.com/security") ac yn ddelfrydol yn gwneud y dudalen yn hawdd i'w darganfod, megis drwy droedyn y wefan, y map safle a chwilio.

  • Drwg: Nid yw'r cynhyrchydd yn darparu cyfeiriad e-bost na thudalen we, neu nid yw'n eu gwneud yn hawdd i'w darganfod.

Sicrhewch allu'r staff.

  • Da: Mae'r cynhyrchydd yn hyfforddi staff cymorth beth i'w wneud os byddant yn cael ymholiad diogelwch, megis sut i ymateb gyda gwybodaeth gyswllt, neu sut i anfon yr ymholiad ymlaen at y tîm mewnol cywir.

  • Da: Mae'r cynhyrchydd yn gwirio o bryd i'w gilydd fod gallu'r staff yn gweithio.

  • Drwg: Nid yw'r cynhyrchydd yn hyfforddi neu nid yw'n gwirio.

Ymatebwch i'r darganfyddwr o fewn yr amserlen.

  • Os nad yw'r darganfyddwr yn pennu amserlen, defnyddiwch un diwrnod gwaith, oherwydd dyma safon y diwydiant ac arfer gorau cyfredol y diwydiant.

  • Os yw'r darganfyddwr yn gofyn cwestiynau, atebwch nhw. Mae hyn yn arbennig o bwysig os yw'r darganfyddwr yn gofyn am ganiatâd i brofi. Sicrhewch fod pob ateb yn glir ac yn uniongyrchol.

Ymatebwch i'r darganfyddwr drwy gyswllt diogelwch awdurdodedig a/neu broses ddiogelwch awdurdodedig.

  • Da: ymateb o gyfeiriad e-bost sy'n benodol i ddiogelwch, megis "security@example.com".

  • Er enghraifft, dyma enghreifftiau drwg: ymateb o gyfeiriad e-bost pwrpas cyffredinol, megis "help@example.com", neu gan unrhyw un nad yw'n weithiwr diogelwch proffesiynol awdurdodedig.

Cadarnhewch wrth y darganfyddwr fod y broblem wedi'i chydnabod fel adroddiad diogelwch.

  • Da: geiriad sy'n benodol i ddiogelwch, megis "Mae ein tîm diogelwch wedi cael eich adroddiad datgelu cyfrifol", neu "Mae gan ein proses ddiogelwch y camau nesaf hyn", neu "Mae eich gwybodaeth bellach yn ein system olrhain diogelwch gyda rhif adnabod XYZ", ac ati.

  • Drwg: geiriad pwrpas cyffredinol, megis "Rydym yn gwerthfawrogi eich busnes", neu "Rydym o ddifrif ynglŷn â diogelwch", geiriad sy'n pasio'r baich megis "Anfonwyd eich e-bost at adran arall", ac ati.

Cam 3: Gweithio'n ddidwyll

Cam 3 yw gwaith y darganfyddwr a'r cynhyrchydd gyda'i gilydd: gweithio'n ddidwyll.

Deallwch fod datgelu cydgysylltiedig o wendidau yn disgrifio proses ddidwyll.

  • Nod rhif 1 yw didwylledd i helpu defnyddwyr i'w hamddiffyn eu hunain rhag risgiau diogelwch.

  • Nod rhif 2 yw didwylledd i fynd i'r afael â'r broblem diogelwch.

  • Gall y darganfyddwr a/neu'r cynhyrchydd ddewis, yn ddidwyll, gynnwys pobl ddiogelwch eraill, megis cysylltu ag ymchwilwyr diogelwch perthnasol eraill i helpu gyda'r broblem.

Deallwch nad yw datgelu cydgysylltiedig o wendidau yn creu unrhyw rwymedigaeth.

  • Gall y darganfyddwr a/neu'r cynhyrchydd dynnu'n ôl ar unrhyw adeg, am unrhyw reswm, gyda rhybudd neu heb rybudd. Mae'n gwrtais cadw'r holl bobl berthnasol yn wybodus ac yn gyfredol, ond nid yw hyn bob amser yn bosibl, nac yn ymarferol, nac yn ddymunol.

  • Nid yw datgelu cydgysylltiedig o wendidau yn creu unrhyw gytundeb cyfreithiol. Os oes gan y darganfyddwr a'r cynhyrchydd gytundeb cyfreithiol eisoes, yna awgrymwn fod pawb dan sylw yn ymgynghori â'r cyfreithwyr priodol; peidiwch â defnyddio'r ddogfen hon fel cyngor cyfreithiol.

Deallwch fod datgelu cydgysylltiedig o wendidau yn anelu at ddefnyddio cyfathrebu da ac yn anelu at wrthod bygythiadau.

  • Datgelu cydgysylltiedig o wendidau sydd orau pan fo pawb dan sylw yn deall mai nod rhif 1 yw helpu defnyddwyr i'w hamddiffyn eu hunain rhag risgiau diogelwch, a nod rhif 2 yw mynd i'r afael â'r broblem diogelwch.

  • Mae datgelu cydgysylltiedig o wendidau yn gwrthod unrhyw fath o fygythiad o ddial, brawychu, atal, dirymu, blacmêl, baich dilyn i fyny, neu feio'r dioddefwr.

Deallwch y gall datgelu cydgysylltiedig o wendidau olygu pethau gwahanol i wahanol bobl.

  • Efallai fod gan y darganfyddwr a'r cynhyrchydd ddealltwriaeth wahanol o ddatgelu cydgysylltiedig o wendidau. Efallai na fydd y dealltwriaethau hyn yn cyd-fynd â'i gilydd. Mae didwylledd yn cynnwys bod pawb dan sylw yn deall hyn.

  • Mae rhai cynhyrchwyr yn cyhoeddi polisïau datgelu cydgysylltiedig o wendidau. Gall y rhain fod yn arweiniad defnyddiol. Os bydd darganfyddwr yn dewis defnyddio math gwahanol o ddatgelu cydgysylltiedig o wendidau, neu os oes ganddo ddealltwriaeth wahanol o ddatgelu cyfrifol, mae hynny'n gwbl iawn.

Deallwch fod y darganfyddwr fel arfer yn gwneud ffafr â'r cyhoeddwr.

  • Fel arfer nid oes angen caniatâd neb ar y darganfyddwr i gyhoeddi gwendidau.

  • Fel arfer mae gwybodaeth y darganfyddwr yn helpu'r cyhoeddwr.

Gwirio llwyddiant

Ar ôl i'r broblem gael ei datrys, rhaid i'r cynhyrchydd wirio llwyddiant.

  • A wnaeth yr holl bobl a phrosesau drin y datgeliad yn llwyddiannus? Os do, da. Os naddo, yna ystyriwch wneud ymchwil ar ôl y digwyddiad, megis dadansoddi'r prif achos (RCA), adroddiadau ôl-weithredol, diagramau Ishikawa, neu ddadansoddiad achosol yn seiliedig ar ddamcaniaeth systemau (CAST).

  • A yw unrhyw faterion sy'n weddill wedi'u blaenoriaethu a'u holrhain?

  • A yw'r cynhyrchydd a'r darganfyddwr ill dau yn deall beth i'w wneud ar gyfer unrhyw gamau nesaf? Mae hyn yn arbennig o bwysig i'w gael yn iawn rhag ofn y bydd datgeliadau cydgysylltiedig pellach o wendidau.

Arweiniad

Gall arweiniad ar gyfer datgelu cydgysylltiedig o wendidau ddod o lawer o feysydd, megis arbenigwyr moeseg, eiriolwyr cyfreithiol, disgwyliadau rhesymol y cyhoedd, ac ati.

Os ydych yn chwilio am arweiniad, efallai y bydd gennych ddiddordeb yn y tri maes hyn, a ddisgrifir i gyd isod.

  • Samariad Trugarog

  • Dyletswydd i achub

  • Dyletswydd gofal

Samariad Trugarog

Wicipedia: Cyfraith y Samariad Trugarog

Mae cyfreithiau'r Samariad Trugarog yn cynnig diogelwch cyfreithiol i bobl sy'n rhoi cymorth rhesymol i'r rhai sydd, neu y credant eu bod, wedi'u hanafu, yn sâl, mewn perygl, neu'n methu gweithredu fel arall. Bwriad y diogelwch yw lleihau amharodrwydd gwylwyr i helpu, rhag ofn cael eu erlyn neu eu herlyn.

Dyletswydd i achub

Wicipedia: Dyletswydd i achub

Cysyniad yw dyletswydd i achub sy'n disgrifio amgylchiad lle gellir dal parti yn atebol am fethu â dod i achub parti arall sydd mewn perygl. Gall dyletswydd i achub fod â meysydd moesol a/neu feysydd cyfreithiol.

Dyletswydd gofal

Wicipedia: Dyletswydd gofal

Rhwymedigaeth i safon gofal rhesymol wrth gyflawni unrhyw weithredoedd a allai niweidio eraill yn rhagweladwy yw dyletswydd gofal. Gall dyletswydd gofal fod â meysydd moesol a/neu feysydd cyfreithiol. Dyma rai agweddau i'w hystyried: pa mor rhagweladwy yw'r niwed neu'r anaf, maint posibl y niwed neu'r anaf posibl, pwysigrwydd neu werth cymdeithasol y gweithgaredd y mae'r diffynnydd yn ymwneud ag ef, defnyddioldeb yr ymddygiad i'r diffynnydd, ymarferoldeb ymddygiad amgen, y costau a'r beichiau sy'n gysylltiedig â'r ymddygiad amgen, defnyddioldeb cymharol yr ymddygiad amgen, a diogelwch cymharol yr ymddygiad amgen.

Achosion arbennig

Mae ein timau diogelwch wedi gweld ystod eang o achosion arbennig.

Disgrifiwn nhw yma i helpu pobl i ddeall lle mae ystod eang o farnau ynghylch beth sy'n dderbyniol a beth nad yw'n dderbyniol. Argymhellwn fod pawb dan sylw yn cyfathrebu'n ddidwyll am y rhain.

Cael mynediad at wybodaeth defnyddwyr eraill

Enghraifft: rydych yn darganfod bod ID defnyddiwr yn eich URL, a bod hynny'n datgelu gwall, ac rydych yn credu y gallwch olygu'r URL i newid eich ID defnyddiwr i ID defnyddiwr gwahanol.

  • A yw'n iawn i'r darganfyddwr wneud hyn, megis gyda'r unig nod o ddarganfod a yw'n effeithio ar ddefnyddwyr eraill hefyd?

  • A yw'n bwysicach deall yn gyflym ehangder y risg i bob defnyddiwr, nag amddiffyn cwpl o ddefnyddwyr y gall hacwyr eisoes weld eu gwybodaeth?

  • A yw'n iawn i'r darganfyddwr wneud hyn gyda chynifer o ddefnyddwyr ag y dymunwch?

  • A yw'n iawn i'r darganfyddwr geisio cysylltu â defnyddwyr i roi gwybod iddynt eu bod wedi'u heffeithio? A yw'n iawn cynnig awgrymiadau ar gyfer lliniaru?

Atal gwasanaeth

Enghraifft: rydych yn darganfod gwall sy'n atal eich cyfrif yn ddamweiniol, megis sbarduno clo cyfrinair.

  • A yw hyn yn cael ei ystyried yn ymosodiad atal gwasanaeth?

E-bost digymell

Enghraifft: rydych yn ceisio adrodd am broblem diogelwch wrth bobl yn y cwmni yr ydych yn meddwl sy'n berthnasol, ac a ddarganfyddwch drwy ymchwilio ar LinkedIn, Facebook, ac ati, neu drwy ddefnyddio confensiynau enwi megis "webmaster@example.com" neu "security@example.com".

  • A yw hyn yn iawn?

  • A yw hyn yn cael ei ystyried yn e-bost digymell?

  • A yw hyn yn cael ei ystyried yn e-bost anawdurdodedig?

Grwpiau a eithrir

Enghraifft: rydych mewn grŵp a eithrir, megis bod yn blentyn dan oed, neu ar restr sancsiynau, neu mewn gwlad ar restr sancsiynau.

  • A yw'n iawn i chi wneud adroddiad?

  • A yw'n iawn adrodd yn ddienw?

  • A yw'n iawn newid gwybodaeth a allai fod yn adnabod person yn fwriadol, megis i ddianc rhag y grŵp a eithrir, a chyda'r nod o helpu'r datgeliad i gyrraedd y bobl iawn?

Trydydd parti

Enghraifft: rydych yn darganfod bod gan feddalwedd cwmni wall sy'n ymwneud â thrydydd parti, megis integreiddiad â darn arall o feddalwedd neu wefan arall.

  • A yw'n iawn i chi adrodd yr holl wybodaeth a ddarganfyddwch wrth y ddau barti?

  • A oes angen gwneud dau ddatgeliad cyfrifol gwahanol, megis un adroddiad i un cwmni, ac adroddiad gwahanol i'r cwmni trydydd parti, gyda'r nod o gyfyngu ar y wybodaeth a anfonir at bob cwmni?

  • A yw'n iawn i'r darganfyddwr gysylltu'r cwmnïau â'i gilydd?

Meddalwedd aflonyddgar

Enghraifft: rydych yn ddigon medrus i allu ysgrifennu firws y credwch sy'n debygol o helpu defnyddwyr i'w hamddiffyn eu hunain rhag y risg diogelwch, neu i nodi a ydynt mewn perygl, neu i drwsio'r risg diogelwch.

  • A yw'n iawn?

  • A yw'n iawn i'r darganfyddwr gyfeirio defnyddwyr at feddalwedd fel hyn, a/neu at ganllawiau neu diwtorialau sy'n disgrifio sut i greu'r math hwn o feddalwedd?

Datgelu cydgysylltiedig o wendidau yn erbyn datgelu cyfrifol

Datgelu cydgysylltiedig o wendidau yw'r term a ffefrir.

  • Yr agwedd bwysicaf yw'r cydgysylltu rhwng y darganfyddwr a'r cynhyrchydd.

Mae datgelu cyfrifol yn derm anghymeradwy.

  • Mae gan wahanol bobl wahanol farnau ynghylch beth yw bod yn gyfrifol. Er enghraifft, mae rhai pobl yn dadlau ei bod yn gyfrifol i'r darganfyddwr hysbysu'r cyhoedd ar unwaith waeth beth fo'r rhyngweithio â'r cynhyrchydd, ac yn anghyfrifol gwneud datgelu cydgysylltiedig o wendidau oherwydd ei fod yn cuddio gwybodaeth rhag y cyhoedd.

Olrhain