Coordinated vulnerability disclosure
← Politikker

CERT: Politik for offentliggørelse af sårbarheder

Sårbarheder, der rapporteres til CERT/CC, vil blive offentliggjort 45 dage efter den første rapport, uanset om der findes eller er tilgængelige patches eller løsninger fra de berørte leverandører. Formildende omstændigheder, såsom aktiv udnyttelse, trusler af særlig alvorlig (eller triviel) art eller situationer, der kræver ændringer af en etableret standard, kan føre til tidligere eller senere offentliggørelse. Offentliggørelser foretaget af CERT/CC vil omfatte anerkendelse af rapportøren, medmindre rapportøren anmoder om andet. Vi vil underrette eventuelle berørte leverandører om vores offentliggørelsesplaner og forhandle alternative offentliggørelsesplaner med de berørte leverandører, når det er nødvendigt.

Formålet med denne politik er at balancere offentlighedens behov for at blive informeret om sikkerhedssårbarheder med leverandørernes behov for tid til at reagere effektivt. Den endelige fastlæggelse af en offentliggørelsesplan vil være baseret på fællesskabets bedste interesse som helhed.

Sårbarheder, der rapporteres til os, vil blive videresendt til de berørte leverandører, så snart det er praktisk muligt efter modtagelsen af rapporten. Rapportørens navn og kontaktoplysninger vil blive videresendt til de berørte leverandører, medmindre rapportøren anmoder om andet. Vi vil underrette rapportøren om væsentlige ændringer i status for enhver sårbarhed, vedkommende har rapporteret, i det omfang det er muligt uden at afsløre oplysninger, som er givet os i fortrolighed.

Sårbarheder vil blive offentliggjort i Vulnerability Notes (sårbarhedsnotater).

Sårbarhedsrapporter for amerikanske regeringshjemmesider vil blive videresendt til US-CERT til koordinering med regeringen.

Ofte stillede spørgsmål

S: Betyder det, at CERT/CC går over til "fuld offentliggørelse" (full disclosure)?

Sv: Vi vil ikke distribuere exploits, hvis det er, hvad "fuld offentliggørelse" betyder. Efter vores erfaring er antallet af personer, der kan have gavn af, at exploits er tilgængelige, lille sammenlignet med antallet af personer, der skades af dem, der bruger exploits ondsindet. Vi vil dog offentliggøre oplysninger om sårbarheder, som vi måske ikke tidligere har offentliggjort. Inden for vores ressourcers grænser vil vi offentliggøre oplysninger om så mange sårbarheder, som vi kan.

S: Hvorfor ikke 30 dage, eller 15 dage, eller med det samme?

Sv: Vi mener, at 45 dage kan være en ret hård frist for en stor organisation at overholde. At gøre den kortere vil realistisk set ikke hjælpe på problemet. I mangel af beviser for udnyttelse er det ikke nødvendigvis i den offentlige sikkerheds bedste interesse omkostningsfrit at annoncere sårbarheder.

S: Ville det ikke være bedre at holde sårbarheder hemmelige, hvis der ikke er en rettelse tilgængelig?

Sv: Sårbarheder opdages og offentliggøres rutinemæssigt, ofte før leverandørerne har haft en rimelig mulighed for at levere en rettelse, og offentliggørelsen omfatter ofte fungerende exploits. Efter vores erfaring føler forskere, programmører, systemadministratorer og andre it-professionelle, der opdager sårbarheder, ofte, at de ikke har andet valg end at gøre oplysningerne offentlige i et forsøg på at tvinge leverandørerne til at tage fat på problemet, hvis der ikke er en ansvarlig, kvalificeret offentliggørelse af sårbarhedsoplysninger.

S: Vil alle sårbarheder blive offentliggjort inden for 45 dage?

Sv: Nej. Der kan ofte være omstændigheder, der får os til at justere vores offentliggørelsesplan. Trusler, der er særligt alvorlige, eller som vi har beviser for udnyttelse af, vil sandsynligvis få os til at forkorte vores udgivelsesplan. Trusler, der kræver "hårde" ændringer (ændringer af standarder, ændringer af kernekomponenter i operativsystemet), vil få os til at forlænge vores offentliggørelsesplan. Vi offentliggør måske ikke alle sårbarheder, der rapporteres til os.

S: Vil I overraske leverandører med annonceringer af sårbarheder?

Sv: Nej. Inden offentliggørelsen vil vi gøre en indsats i god tro for at informere leverandørerne om vores hensigter.

S: Hvis en leverandør er uenig i jeres vurdering af et problem, vil den information så være tilgængelig?

Sv: Ja. Vi indhenter og slår autentificerede leverandørudtalelser op og henviser til relevante leverandøroplysninger i sårbarhedsnotaterne. Vi vil ikke tilbageholde oplysninger leveret af leverandøren blot fordi de er uenige i vores vurdering af problemet.

S: Hvem får oplysningerne før den offentlige offentliggørelse?

Sv: Generelt giver vi oplysningerne til enhver, der kan bidrage til løsningen, og som vi har et tillidsforhold til, herunder leverandører (ofte også leverandører, hvis produkter ikke er sårbare), eksperter i fællesskabet, sponsorer og sites, der er en del af en national kritisk infrastruktur, hvis vi mener, at disse sites er i fare.

S: Offentliggør I enhver rapporteret sårbarhed?

Sv: Nej. Vi kan efter eget skøn afstå fra at koordinere eller offentliggøre en sårbarhedsrapport. Denne beslutning er generelt baseret på sårbarhedens omfang og alvor og vores evne til at tilføre værdi til koordinerings- og offentliggørelsesprocessen. Uanset om vi koordinerer eller offentliggør, anbefaler vi, at rapportøren gør en indsats i god tro for at underrette og arbejde direkte sammen med den berørte leverandør før den offentlige offentliggørelse.