Coordinated vulnerability disclosure
← Polisïau

CERT: Polisi Datgelu Gwendidau

Bydd gwendidau a adroddir i CERT/CC yn cael eu datgelu i'r cyhoedd 45 diwrnod ar ôl yr adroddiad cyntaf, waeth a oes clytiau neu atebion dros dro ar gael gan y gwerthwyr yr effeithir arnynt. Gall amgylchiadau lliniarol, megis ecsbloetio gweithredol, bygythiadau o natur arbennig o ddifrifol (neu ddibwys), neu sefyllfaoedd sy'n gofyn am newidiadau i safon sefydledig, arwain at ddatgelu'n gynharach neu'n hwyrach. Bydd datgeliadau gan CERT/CC yn cynnwys cydnabyddiaeth i'r adroddwr oni bai bod yr adroddwr yn gofyn yn wahanol. Byddwn yn hysbysu unrhyw werthwyr yr effeithir arnynt am ein cynlluniau cyhoeddi ac yn negodi amserlenni cyhoeddi amgen gyda'r gwerthwyr yr effeithir arnynt pan fo angen.

Nod y polisi hwn yw cydbwyso angen y cyhoedd i gael gwybod am wendidau diogelwch ag angen gwerthwyr am amser i ymateb yn effeithiol. Bydd y penderfyniad terfynol ar amserlen gyhoeddi yn seiliedig ar fuddiannau gorau'r gymuned yn gyffredinol.

Bydd gwendidau a adroddir i ni yn cael eu hanfon ymlaen at y gwerthwyr yr effeithir arnynt cyn gynted ag y bo'n ymarferol ar ôl i ni gael yr adroddiad. Bydd enw a manylion cyswllt yr adroddwr yn cael eu hanfon ymlaen at y gwerthwyr yr effeithir arnynt oni bai bod yr adroddwr yn gofyn yn wahanol. Byddwn yn hysbysu'r adroddwr am newidiadau sylweddol yn statws unrhyw wendid a adroddodd i'r graddau y bo modd heb ddatgelu gwybodaeth a roddwyd i ni yn gyfrinachol.

Bydd gwendidau'n cael eu datgelu mewn Nodiadau Gwendid (Vulnerability Notes).

Bydd adroddiadau gwendid ar gyfer gwefannau Llywodraeth yr Unol Daleithiau yn cael eu hanfon ymlaen at US-CERT i'w cydgysylltu â'r llywodraeth.

Cwestiynau Cyffredin

C: A yw hyn yn golygu bod CERT/CC yn mynd am "ddatgelu llawn"?

A: Ni fyddwn yn dosbarthu ecsbloetiadau, os mai dyna a olygir gan "ddatgelu llawn". Yn ein profiad ni, mae nifer y bobl a all elwa o argaeledd ecsbloetiadau yn fach o'i gymharu â nifer y bobl a niweidir gan bobl sy'n defnyddio ecsbloetiadau'n faleisus. Fodd bynnag, byddwn yn datgelu gwybodaeth am wendidau na fyddem efallai wedi'u datgelu o'r blaen. O fewn terfynau ein hadnoddau, byddwn yn cyhoeddi gwybodaeth am gynifer o wendidau ag y gallwn.

C: Pam nid 30 diwrnod, neu 15 diwrnod, neu ar unwaith?

A: Rydym yn credu y gall 45 diwrnod fod yn derfyn amser eithaf anodd i sefydliad mawr ei gyrraedd. Ni fydd ei wneud yn fyrrach yn helpu'r broblem yn realistig. Yn absenoldeb tystiolaeth o ecsbloetio, efallai nad yw cyhoeddi gwendidau heb reswm er budd gorau diogelwch y cyhoedd.

C: Oni fyddai'n well cadw gwendidau'n dawel os nad oes atgyweiriad ar gael?

A: Mae gwendidau'n cael eu darganfod a'u datgelu'n rheolaidd, yn aml cyn bod gwerthwyr wedi cael cyfle teg i ddarparu atgyweiriad, ac mae'r datgelu'n aml yn cynnwys ecsbloetiadau gweithredol. Yn ein profiad ni, os nad oes datgelu cyfrifol, cymwys o wybodaeth am wendidau, yna mae ymchwilwyr, rhaglenwyr, gweinyddwyr systemau a gweithwyr TG proffesiynol eraill sy'n darganfod gwendidau yn aml yn teimlo nad oes ganddynt unrhyw ddewis ond cyhoeddi'r wybodaeth mewn ymgais i orfodi gwerthwyr i fynd i'r afael â'r broblem.

C: A fydd pob gwendid yn cael ei ddatgelu o fewn 45 diwrnod?

A: Na. Yn aml gall fod amgylchiadau a fydd yn peri i ni addasu ein hamserlen gyhoeddi. Bydd bygythiadau sy'n arbennig o ddifrifol neu y mae gennym dystiolaeth o ecsbloetio ar eu cyfer yn debygol o beri i ni fyrhau ein hamserlen ryddhau. Bydd bygythiadau sy'n gofyn am newidiadau "caled" (newidiadau i safonau, newidiadau i gydrannau craidd y system weithredu) yn peri i ni ymestyn ein hamserlen gyhoeddi. Efallai na fyddwn yn cyhoeddi pob gwendid a adroddir i ni.

C: A fyddwch yn synnu gwerthwyr gyda chyhoeddiadau o wendidau?

A: Na. Cyn datgelu'n gyhoeddus, byddwn yn gwneud ymdrech ddidwyll i hysbysu gwerthwyr o'n bwriadau.

C: Os yw gwerthwr yn anghytuno â'ch asesiad o broblem, a fydd y wybodaeth honno ar gael?

A: Bydd. Rydym yn gofyn am ddatganiadau dilys gan werthwyr ac yn eu postio, ac yn cyfeirio at wybodaeth berthnasol gan werthwyr mewn nodiadau gwendid. Ni fyddwn yn dal gwybodaeth a ddarperir gan werthwyr yn ôl yn syml am ei bod yn anghytuno â'n hasesiad o'r broblem.

C: Pwy sy'n cael y wybodaeth cyn datgelu'n gyhoeddus?

A: Yn gyffredinol, rydym yn darparu'r wybodaeth i unrhyw un a all gyfrannu at yr ateb ac y mae gennym berthynas ymddiriedus ag ef, gan gynnwys gwerthwyr (yn aml gan gynnwys gwerthwyr nad yw eu cynhyrchion yn agored i niwed), arbenigwyr cymunedol, noddwyr, a safleoedd sy'n rhan o seilwaith critigol cenedlaethol, os credwn fod y safleoedd hynny mewn perygl.

C: A ydych yn datgelu pob gwendid a adroddir?

A: Nac ydym. Gallwn, yn ôl ein disgresiwn, wrthod cydgysylltu neu gyhoeddi adroddiad gwendid. Mae'r penderfyniad hwn fel arfer yn seiliedig ar gwmpas a difrifoldeb y gwendid a'n gallu i ychwanegu gwerth at y broses gydgysylltu a datgelu. Pa un a ydym yn cydgysylltu neu'n cyhoeddi ai peidio, argymhellwn fod yr adroddwr yn gwneud ymdrech ddidwyll i hysbysu'r gwerthwr yr effeithir arno a gweithio'n uniongyrchol ag ef cyn datgelu'n gyhoeddus.