Coordinated vulnerability disclosure
← Richtlinien

CERT: Richtlinie zur Offenlegung von Schwachstellen

Dem CERT/CC gemeldete Schwachstellen werden 45 Tage nach der ersten Meldung der Öffentlichkeit offengelegt, unabhängig davon, ob Patches oder Workarounds der betroffenen Hersteller existieren oder verfügbar sind. Besondere Umstände, etwa aktive Ausnutzung, Bedrohungen besonders schwerwiegender (oder unbedeutender) Art oder Situationen, die Änderungen an einem etablierten Standard erfordern, können zu einer früheren oder späteren Offenlegung führen. Offenlegungen des CERT/CC nennen die meldende Person als Urheber, sofern sie nichts anderes wünscht. Wir informieren betroffene Hersteller über unsere Veröffentlichungspläne und verhandeln bei Bedarf mit den betroffenen Herstellern alternative Veröffentlichungszeitpläne.

Ziel dieser Richtlinie ist es, das Bedürfnis der Öffentlichkeit, über Sicherheitslücken informiert zu werden, mit dem Bedarf der Hersteller an Zeit für eine wirksame Reaktion in Einklang zu bringen. Die endgültige Festlegung eines Veröffentlichungszeitplans richtet sich nach den Interessen der Gemeinschaft insgesamt.

Uns gemeldete Schwachstellen werden den betroffenen Herstellern so bald wie praktisch möglich nach Eingang der Meldung weitergeleitet. Name und Kontaktdaten der meldenden Person werden an die betroffenen Hersteller weitergegeben, sofern sie nichts anderes wünscht. Wir informieren die meldende Person über wesentliche Änderungen im Status einer von ihr gemeldeten Schwachstelle, soweit dies möglich ist, ohne uns vertraulich mitgeteilte Informationen preiszugeben.

Schwachstellen werden in Vulnerability Notes offengelegt.

Schwachstellenmeldungen für Websites der US-Regierung werden zur Abstimmung mit der Regierung an US-CERT weitergeleitet.

Häufig gestellte Fragen

F: Heißt das, dass das CERT/CC auf „Full Disclosure“ setzt?

A: Wir werden keine Exploits verbreiten, falls das mit „Full Disclosure“ gemeint ist. Nach unserer Erfahrung ist die Zahl der Menschen, die von der Verfügbarkeit von Exploits profitieren können, klein im Vergleich zur Zahl derer, die durch böswillige Nutzer von Exploits geschädigt werden. Wir werden jedoch Informationen über Schwachstellen offenlegen, die wir bisher möglicherweise nicht offengelegt hätten. Im Rahmen unserer Ressourcen werden wir Informationen über so viele Schwachstellen veröffentlichen, wie wir können.

F: Warum nicht 30 Tage, 15 Tage oder sofort?

A: Wir meinen, dass 45 Tage für eine große Organisation eine ziemlich harte Frist sein können. Sie kürzer zu machen, würde das Problem realistisch nicht lösen. Ohne Hinweise auf Ausnutzung liegt es möglicherweise nicht im besten Interesse der öffentlichen Sicherheit, Schwachstellen grundlos bekannt zu geben.

F: Wäre es nicht besser, Schwachstellen geheim zu halten, wenn keine Behebung verfügbar ist?

A: Schwachstellen werden routinemäßig entdeckt und offengelegt, häufig bevor Hersteller eine faire Gelegenheit hatten, eine Behebung bereitzustellen, und die Offenlegung enthält oft funktionierende Exploits. Nach unserer Erfahrung haben Forscher, Programmierer, Systemadministratoren und andere IT-Fachleute, die Schwachstellen entdecken, oft das Gefühl, keine andere Wahl zu haben, als die Informationen öffentlich zu machen, um Hersteller zum Handeln zu zwingen, wenn es keine verantwortungsvolle, qualifizierte Offenlegung von Schwachstelleninformationen gibt.

F: Werden alle Schwachstellen innerhalb von 45 Tagen offengelegt?

A: Nein. Oft gibt es Umstände, die uns veranlassen, unseren Veröffentlichungszeitplan anzupassen. Besonders ernste Bedrohungen oder solche, für die wir Hinweise auf Ausnutzung haben, werden uns wahrscheinlich dazu bringen, den Zeitplan zu verkürzen. Bedrohungen, die „harte“ Änderungen erfordern (Änderungen an Standards, an Kernkomponenten des Betriebssystems), werden uns dazu bringen, den Zeitplan zu verlängern. Möglicherweise veröffentlichen wir nicht jede uns gemeldete Schwachstelle.

F: Überraschen Sie Hersteller mit Ankündigungen von Schwachstellen?

A: Nein. Vor der öffentlichen Offenlegung bemühen wir uns in gutem Glauben, die Hersteller über unsere Absichten zu informieren.

F: Wenn ein Hersteller Ihre Einschätzung eines Problems nicht teilt, wird diese Information verfügbar sein?

A: Ja. Wir holen authentifizierte Herstellerstellungnahmen ein, veröffentlichen sie und verweisen in den Vulnerability Notes auf relevante Herstellerinformationen. Wir halten vom Hersteller bereitgestellte Informationen nicht zurück, nur weil sie unserer Einschätzung des Problems widersprechen.

F: Wer erhält die Informationen vor der öffentlichen Offenlegung?

A: Im Allgemeinen geben wir die Informationen an alle weiter, die zur Lösung beitragen können und zu denen wir ein Vertrauensverhältnis haben, einschließlich Herstellern (oft auch Herstellern, deren Produkte nicht verwundbar sind), Experten aus der Community, Sponsoren und Standorten, die Teil einer nationalen kritischen Infrastruktur sind, wenn wir diese Standorte für gefährdet halten.

F: Legen Sie jede gemeldete Schwachstelle offen?

A: Nein. Wir können nach eigenem Ermessen davon absehen, einen Schwachstellenbericht zu koordinieren oder zu veröffentlichen. Diese Entscheidung beruht im Allgemeinen auf dem Umfang und der Schwere der Schwachstelle und unserer Fähigkeit, den Koordinations- und Offenlegungsprozess zu bereichern. Ob wir koordinieren oder veröffentlichen oder nicht, wir empfehlen der meldenden Person, sich vor der öffentlichen Offenlegung in gutem Glauben zu bemühen, den betroffenen Hersteller zu benachrichtigen und direkt mit ihm zusammenzuarbeiten.