Coordinated vulnerability disclosure

Συντονισμένη γνωστοποίηση ευπαθειών (CVD)

Πώς να αναφέρετε, να λαμβάνετε και να συντονίζετε ευπάθειες ασφαλείας, με υποδείγματα πολιτικών.

Η συντονισμένη γνωστοποίηση ευπαθειών (Coordinated vulnerability disclosure, CVD) είναι όρος της ασφάλειας υπολογιστών. Περιγράφει πώς μπορούν οι άνθρωποι να μοιράζονται αναφορές για ζητήματα ασφάλειας. Παραδείγματα είναι οι αναφορές σφαλμάτων, οι κίνδυνοι εισβολής, οι προειδοποιήσεις για χάκινγκ, οι διαρροές δεδομένων, οι παραβιάσεις ιστότοπων κ.λπ.

Μεταφράσεις: العربية, Български, বাংলা, Čeština, Cymraeg, Dansk, Deutsch, Ελληνικά, English, Español, Eesti, Euskara, فارسی, Suomi, Français, Gaeilge, Gàidhlig, ગુજરાતી, Hausa, עברית, हिन्दी, Hrvatski, Magyar, Bahasa Indonesia, Íslenska, Italiano, 日本語, 한국어, Lietuvių, Latviešu, Nederlands, Polski, Português, Română, Русский, Slovenčina, Slovenščina, Svenska, Kiswahili, ไทย, Türkçe, Українська, اردو, Tiếng Việt, 中文

Περιεχόμενα:

Πολιτικές:

Εισαγωγή

Αυτό το έγγραφο εξηγεί τη συντονισμένη γνωστοποίηση ευπαθειών με τρόπους που μπορεί να βοηθήσουν τους ανθρώπους να συνεργαστούν.

Στόχοι του εγγράφου:

  1. Να βοηθήσει όσους ανακαλύπτουν ζητήματα ασφάλειας και θέλουν να τα αναφέρουν.

  2. Να βοηθήσει τους εκπροσώπους εταιρειών να κατανοήσουν τις ανάγκες, τους στόχους, τις πρακτικές και τις ειδικές περιπτώσεις της υπεύθυνης γνωστοποίησης.

  3. Να συμπεριλάβει στον φάκελο του αποθετηρίου παραδείγματα πολιτικών συντονισμένης γνωστοποίησης ευπαθειών.

Δεχόμαστε με χαρά pull requests, GitHub issues ή email στο security@joelparkerhenderson.com.

Τι είναι η συντονισμένη γνωστοποίηση ευπαθειών;

Η συντονισμένη γνωστοποίηση ευπαθειών περιγράφει τρία βήματα όταν κάποιος ανακαλύπτει ένα ζήτημα ασφάλειας (όπως ένα σφάλμα λογισμικού) και θέλει να το αναφέρει στον παραγωγό (όπως η εταιρεία που κατασκευάζει το λογισμικό).

Βήματα:

  1. Ο ανακαλύπτων αναφέρει το ζήτημα ιδιωτικά και με καλή πίστη στον παραγωγό.

  2. Ο παραγωγός προσπαθεί με καλή πίστη να προστατεύσει τους χρήστες και να αντιμετωπίσει το ζήτημα.

  3. Μετά από ορισμένο χρονικό διάστημα, το ζήτημα ασφάλειας δημοσιοποιείται.

Βήμα 1: Αναφέρετε το ζήτημα

Το βήμα 1 αφορά τον ανακαλύπτοντα: αναφέρετε το ζήτημα ιδιωτικά και με καλή πίστη.

  • Καλό: ο ανακαλύπτων στέλνει τις σχετικές πληροφορίες στον παραγωγό, για παράδειγμα με email στη διεύθυνση email ασφαλείας του παραγωγού (συνήθως «security@example.com») ή μέσω φόρμας στην ιστοσελίδα του παραγωγού (συνήθως «https://www.example.com/security»).

  • Κακό: δημοσίευση της αναφοράς σε δημόσιο blog, ειδοποίηση των μέσων ενημέρωσης, απειλές ή απόπειρες πώλησης του ζητήματος ασφάλειας σε χάκερ κ.λπ.

  • Συμβουλή: ο ανακαλύπτων μπορεί να επιλέξει να παραμείνει ανώνυμος· ο παραγωγός μπορεί επίσης να επιλέξει να παραμείνει ανώνυμος.

Αν θέλετε, συνεχίστε να έχετε επίγνωση του ζητήματος.

  • Καλό: άνοιγμα γραμμών επικοινωνίας, παροχή πληροφοριών παρακολούθησης ή παρακολούθηση της κατάστασης.

  • Κακό: να ξεχάσετε το ζήτημα.

  • Συμβουλή: ο ανακαλύπτων μπορεί να επιλέξει να βοηθήσει ή όχι, να επικοινωνεί ή όχι, και μπορεί επίσης να αλλάξει τη συμφωνία αν αλλάξουν οι περιστάσεις.

Αν θέλετε, γνωστοποιήστε το ζήτημα σε άλλους.

  • Καλό: αναμονή του καθορισμένου χρόνου και στη συνέχεια δημοσιοποίηση, για παράδειγμα με ανάρτηση των σχετικών πληροφοριών σε ιστότοπο ειδήσεων ασφάλειας, επικοινωνία με σχετικούς ερευνητές ασφάλειας τρίτων ή ανακοίνωση του ζητήματος σε οποιοδήποτε δημόσιο κοινωνικό δίκτυο κ.λπ.

  • Κακό: μη γνωστοποίηση του ζητήματος σε άλλους, εκτός αν θεωρείτε ότι θα προκαλούσε μεγαλύτερο από το συγκρίσιμο ποσό κινδύνου στον εαυτό σας ή σε άλλους.

  • Συμβουλή: αν αλλάξουν οι περιστάσεις, για παράδειγμα ανακαλυφθεί υψηλότερος κίνδυνος ή ενεργή εκμετάλλευση στη φύση (in the wild), ο ανακαλύπτων μπορεί να γνωστοποιήσει το ζήτημα σε άλλους νωρίτερα.

Βήμα 2: Διασφαλίστε τις επαφές

Το βήμα 2 αφορά τον παραγωγό: διασφαλίστε ότι οι επαφές είναι βιώσιμες.

  • Καλό: ο παραγωγός δημοσιεύει μια διεύθυνση email επικοινωνίας για την ασφάλεια (συμβατικά «security@example.com») και ιδανικά ένα ασφαλές κλειδί κρυπτογράφησης email.

  • Καλό: ο παραγωγός δημοσιεύει μια ιστοσελίδα επικοινωνίας για την ασφάλεια (συμβατικά «https://www.example.com/security») και ιδανικά την κάνει εύκολα ανακαλύψιμη, για παράδειγμα μέσω του υποσέλιδου του ιστότοπου, του χάρτη τοποθεσίας και της αναζήτησης.

  • Κακό: ο παραγωγός δεν παρέχει διεύθυνση email ή ιστοσελίδα, ή δεν τις κάνει εύκολα ανακαλύψιμες.

Διασφαλίστε τις δυνατότητες του προσωπικού.

  • Καλό: ο παραγωγός εκπαιδεύει το προσωπικό υποστήριξης τι να κάνει αν λάβει ερώτημα ασφάλειας, για παράδειγμα πώς να απαντήσει με πληροφορίες επικοινωνίας ή πώς να προωθήσει το ερώτημα στη σωστή εσωτερική ομάδα.

  • Καλό: ο παραγωγός επαληθεύει περιοδικά ότι οι δυνατότητες του προσωπικού λειτουργούν.

  • Κακό: ο παραγωγός δεν εκπαιδεύει ή δεν επαληθεύει.

Απαντήστε στον ανακαλύπτοντα εντός του χρονοδιαγράμματος.

  • Αν ο ανακαλύπτων δεν καθορίσει χρονοδιάγραμμα, χρησιμοποιήστε μία εργάσιμη ημέρα, επειδή αυτό είναι πρότυπο του κλάδου και η τρέχουσα βέλτιστη πρακτική του κλάδου.

  • Αν ο ανακαλύπτων κάνει ερωτήσεις, απαντήστε σε αυτές. Αυτό είναι ιδιαίτερα σημαντικό αν ο ανακαλύπτων ζητά άδεια για δοκιμές. Διασφαλίστε ότι όλες οι απαντήσεις είναι σαφείς και άμεσες.

Απαντήστε στον ανακαλύπτοντα μέσω εξουσιοδοτημένης επαφής ασφαλείας ή/και εξουσιοδοτημένης διαδικασίας ασφαλείας.

  • Καλό: απάντηση από διεύθυνση email ειδικά για την ασφάλεια, όπως «security@example.com».

  • Για παράδειγμα, αυτά είναι κακά: απάντηση από διεύθυνση email γενικής χρήσης, όπως «help@example.com», ή από οποιονδήποτε δεν είναι εξουσιοδοτημένος επαγγελματίας ασφαλείας.

Ενημερώστε τον ανακαλύπτοντα ότι το ζήτημα αναγνωρίζεται ως αναφορά ασφαλείας.

  • Καλό: διατύπωση ειδική για την ασφάλεια, όπως «Η ομάδα ασφαλείας μας έλαβε την αναφορά υπεύθυνης γνωστοποίησής σας», ή «Η διαδικασία ασφαλείας μας έχει αυτά τα επόμενα βήματα», ή «Οι πληροφορίες σας βρίσκονται πλέον στο σύστημα παρακολούθησης ασφαλείας μας με αριθμό ταυτότητας XYZ» κ.λπ.

  • Κακό: γενική διατύπωση, όπως «Εκτιμούμε τη συνεργασία σας», ή «Παίρνουμε την ασφάλεια στα σοβαρά», διατύπωση μετακύλισης ευθύνης όπως «Στείλαμε το email σας σε άλλο τμήμα» κ.λπ.

Βήμα 3: Εργαστείτε με καλή πίστη

Το βήμα 3 αφορά τον ανακαλύπτοντα και τον παραγωγό μαζί: εργαστείτε με καλή πίστη.

Κατανοήστε ότι η συντονισμένη γνωστοποίηση ευπαθειών περιγράφει μια διαδικασία καλής πίστης.

  • Ο στόχος #1 είναι η καλή πίστη για να βοηθηθούν οι χρήστες να προστατευτούν από κινδύνους ασφαλείας.

  • Ο στόχος #2 είναι η καλή πίστη για την αντιμετώπιση του ζητήματος ασφαλείας.

  • Ο ανακαλύπτων ή/και ο παραγωγός μπορούν να επιλέξουν με καλή πίστη να εμπλέξουν άλλους ανθρώπους της ασφάλειας, για παράδειγμα επικοινωνώντας με άλλους σχετικούς ερευνητές ασφαλείας για βοήθεια με το ζήτημα.

Κατανοήστε ότι η συντονισμένη γνωστοποίηση ευπαθειών δεν δημιουργεί καμία υποχρέωση.

  • Ο ανακαλύπτων ή/και ο παραγωγός μπορούν να αποσυρθούν ανά πάσα στιγμή, για οποιονδήποτε λόγο, με ή χωρίς προειδοποίηση. Είναι ευγενικό να ενημερώνονται όλοι οι σχετικοί, αλλά αυτό δεν είναι πάντα εφικτό, πρακτικό ή επιθυμητό.

  • Η συντονισμένη γνωστοποίηση ευπαθειών δεν δημιουργεί καμία νομική συμφωνία. Αν ο ανακαλύπτων και ο παραγωγός έχουν ήδη νομική συμφωνία, προτείνουμε όλοι οι εμπλεκόμενοι να συμβουλευτούν τους κατάλληλους δικηγόρους· μη χρησιμοποιείτε αυτό το έγγραφο ως νομική συμβουλή.

Κατανοήστε ότι η συντονισμένη γνωστοποίηση ευπαθειών στοχεύει στη χρήση καλής επικοινωνίας και στην απόρριψη των απειλών.

  • Η συντονισμένη γνωστοποίηση ευπαθειών είναι καλύτερη όταν όλοι οι εμπλεκόμενοι κατανοούν ότι ο στόχος #1 είναι να βοηθηθούν οι χρήστες να προστατευτούν από κινδύνους ασφαλείας και ο στόχος #2 είναι να αντιμετωπιστεί το ζήτημα ασφαλείας.

  • Η συντονισμένη γνωστοποίηση ευπαθειών απορρίπτει κάθε είδους απειλή αντεκδίκησης, εκφοβισμού, αναστολής, ανάκλησης, εκβιασμού, βάρους παρακολούθησης ή κατηγορίας του θύματος.

Κατανοήστε ότι η συντονισμένη γνωστοποίηση ευπαθειών μπορεί να σημαίνει διαφορετικά πράγματα για διαφορετικούς ανθρώπους.

  • Ο ανακαλύπτων και ο παραγωγός μπορεί να έχουν διαφορετική κατανόηση της συντονισμένης γνωστοποίησης ευπαθειών. Αυτές οι κατανοήσεις μπορεί να μην ευθυγραμμίζονται μεταξύ τους. Η καλή πίστη περιλαμβάνει την κατανόηση αυτού από όλους τους εμπλεκόμενους.

  • Ορισμένοι παραγωγοί δημοσιεύουν πολιτικές συντονισμένης γνωστοποίησης ευπαθειών. Αυτές μπορεί να αποτελέσουν χρήσιμη καθοδήγηση. Αν ένας ανακαλύπτων επιλέξει να χρησιμοποιήσει διαφορετικό είδος συντονισμένης γνωστοποίησης ευπαθειών ή έχει διαφορετική κατανόηση της υπεύθυνης γνωστοποίησης, αυτό είναι απολύτως εντάξει.

Κατανοήστε ότι συνήθως ο ανακαλύπτων κάνει μια χάρη στον εκδότη.

  • Συνήθως ο ανακαλύπτων δεν χρειάζεται την άδεια κανενός για να δημοσιεύσει ευπάθειες.

  • Συνήθως οι πληροφορίες του ανακαλύπτοντος βοηθούν τον εκδότη.

Επαληθεύστε την επιτυχία

Αφού επιλυθεί το πρόβλημα, ο παραγωγός πρέπει να επαληθεύσει την επιτυχία.

  • Χειρίστηκαν όλοι οι άνθρωποι και οι διαδικασίες τη γνωστοποίηση με επιτυχία; Αν ναι, καλά. Αν όχι, τότε εξετάστε το ενδεχόμενο να κάνετε έρευνα μετά τη δράση, όπως ανάλυση βασικής αιτίας (RCA), αναφορές post-mortem, διαγράμματα Ishikawa ή αιτιακή ανάλυση βασισμένη στη θεωρία συστημάτων (CAST).

  • Έχουν ταξινομηθεί (triage) και παρακολουθούνται τυχόν εκκρεμή ζητήματα;

  • Κατανοούν ο παραγωγός και ο ανακαλύπτων τι να κάνουν για τυχόν επόμενα βήματα; Αυτό είναι ιδιαίτερα σημαντικό να γίνει σωστά σε περίπτωση που υπάρξουν περαιτέρω συντονισμένες γνωστοποιήσεις ευπαθειών.

Καθοδήγηση

Η καθοδήγηση για τη συντονισμένη γνωστοποίηση ευπαθειών μπορεί να προέλθει από πολλούς τομείς, όπως ειδικούς στην ηθική, νομικούς υποστηρικτές, τις εύλογες προσδοκίες του ευρέος κοινού κ.λπ.

Αν αναζητάτε καθοδήγηση, τότε μπορεί να σας ενδιαφέρουν αυτοί οι τρεις τομείς, όλοι περιγράφονται παρακάτω.

  • Καλός Σαμαρείτης

  • Καθήκον διάσωσης

  • Καθήκον επιμέλειας

Καλός Σαμαρείτης

Wikipedia: Good Samaritan law

Οι νόμοι του Καλού Σαμαρείτη προσφέρουν νομική προστασία σε άτομα που παρέχουν εύλογη βοήθεια σε όσους είναι, ή πιστεύουν ότι είναι, τραυματισμένοι, άρρωστοι, σε κίνδυνο ή αλλιώς ανίκανοι. Η προστασία προορίζεται να μειώσει τον δισταγμό των παρευρισκομένων να βοηθήσουν, από φόβο μήπως μηνυθούν ή διωχθούν.

Καθήκον διάσωσης

Wikipedia: Duty to rescue

Το καθήκον διάσωσης είναι μια έννοια που περιγράφει μια περίσταση στην οποία ένα μέρος μπορεί να θεωρηθεί υπεύθυνο επειδή δεν έσπευσε να βοηθήσει ένα άλλο μέρος σε κίνδυνο. Το καθήκον διάσωσης μπορεί να έχει ηθικές ή/και νομικές πτυχές.

Καθήκον επιμέλειας

Wikipedia: Duty of care

Το καθήκον επιμέλειας είναι η υποχρέωση τήρησης προτύπου εύλογης επιμέλειας κατά την εκτέλεση οποιωνδήποτε πράξεων που θα μπορούσαν προβλέψιμα να βλάψουν άλλους. Το καθήκον επιμέλειας μπορεί να έχει ηθικές ή/και νομικές πτυχές. Ορισμένες πτυχές που πρέπει να εξεταστούν είναι: η προβλεψιμότητα της βλάβης ή του τραυματισμού, το πιθανό μέγεθος της πιθανής βλάβης ή του τραυματισμού, η σημασία ή η κοινωνική αξία της δραστηριότητας στην οποία εμπλέκεται ο εναγόμενος, η χρησιμότητα της συμπεριφοράς για τον εναγόμενο, η σκοπιμότητα της εναλλακτικής συμπεριφοράς, το κόστος και τα βάρη που σχετίζονται με την εναλλακτική συμπεριφορά, η σχετική χρησιμότητα της εναλλακτικής συμπεριφοράς και η σχετική ασφάλεια της εναλλακτικής συμπεριφοράς.

Ειδικές περιπτώσεις

Οι ομάδες ασφαλείας μας έχουν δει ένα ευρύ φάσμα ειδικών περιπτώσεων.

Τις περιγράφουμε εδώ για να βοηθήσουμε τους ανθρώπους να κατανοήσουν πού υπάρχει ένα ευρύ φάσμα απόψεων για το τι μπορεί να είναι εντάξει και τι μπορεί να μην είναι. Συνιστούμε όλοι οι εμπλεκόμενοι να επικοινωνούν με καλή πίστη σχετικά με αυτά.

Πρόσβαση σε πληροφορίες άλλων χρηστών

Παράδειγμα: ανακαλύπτετε ότι μια διεύθυνση URL έχει μέσα το αναγνωριστικό χρήστη σας και αποκαλύπτει ένα σφάλμα, και πιστεύετε ότι μπορείτε να επεξεργαστείτε το URL για να αλλάξετε το αναγνωριστικό χρήστη σας σε διαφορετικό αναγνωριστικό χρήστη.

  • Είναι εντάξει να το κάνει αυτό ο ανακαλύπτων, για παράδειγμα με μοναδικό στόχο να ανακαλύψει αν επηρεάζει και άλλους χρήστες;

  • Είναι πιο σημαντικό να κατανοηθεί γρήγορα η έκταση του κινδύνου για όλους τους χρήστες από το να προστατευθούν μερικοί χρήστες των οποίων οι πληροφορίες μπορεί να είναι ήδη ορατές σε χάκερ;

  • Είναι εντάξει να το κάνει αυτό ο ανακαλύπτων με όσους χρήστες θέλετε;

  • Είναι εντάξει ο ανακαλύπτων να προσπαθήσει να επικοινωνήσει με τους χρήστες για να τους ενημερώσει ότι επηρεάζονται; Είναι εντάξει να προσφέρει προτάσεις μετριασμού;

Άρνηση υπηρεσίας

Παράδειγμα: ανακαλύπτετε ένα σφάλμα που αναστέλλει κατά λάθος τον λογαριασμό σας, για παράδειγμα ενεργοποιώντας κλείδωμα κωδικού πρόσβασης.

  • Θεωρείται αυτό επίθεση άρνησης υπηρεσίας;

Ανεπιθύμητο email

Παράδειγμα: προσπαθείτε να αναφέρετε ένα ζήτημα ασφαλείας σε ανθρώπους της εταιρείας που θεωρείτε σχετικούς, και τους οποίους ανακαλύπτετε κάνοντας έρευνα στο LinkedIn, το Facebook κ.λπ., ή χρησιμοποιώντας συμβάσεις ονοματοδοσίας όπως «webmaster@example.com» ή «security@example.com».

  • Είναι αυτό εντάξει;

  • Θεωρείται αυτό ανεπιθύμητο email;

  • Θεωρείται αυτό μη εξουσιοδοτημένο email;

Εξαιρούμενες ομάδες

Παράδειγμα: ανήκετε σε εξαιρούμενη ομάδα, όπως να είστε ανήλικος, ή να βρίσκεστε σε λίστα κυρώσεων, ή σε χώρα που βρίσκεται σε λίστα κυρώσεων.

  • Είναι εντάξει να κάνετε αναφορά;

  • Είναι εντάξει να αναφέρετε ανώνυμα;

  • Είναι εντάξει να αλλάξετε σκόπιμα πληροφορίες που ενδεχομένως ταυτοποιούν, για παράδειγμα για να ξεφύγετε από την εξαιρούμενη ομάδα, και με στόχο να βοηθήσετε τη γνωστοποίηση να φτάσει στους σωστούς ανθρώπους;

Τρίτο μέρος

Παράδειγμα: ανακαλύπτετε ότι το λογισμικό μιας εταιρείας έχει σφάλμα που αφορά τρίτο μέρος, όπως μια ενσωμάτωση με άλλο λογισμικό ή άλλον ιστότοπο.

  • Είναι εντάξει να αναφέρετε όλες τις πληροφορίες που βρίσκετε και στα δύο μέρη;

  • Είναι απαραίτητο να γίνουν δύο διαφορετικές υπεύθυνες γνωστοποιήσεις, για παράδειγμα μία αναφορά σε μία εταιρεία και μια διαφορετική αναφορά στην εταιρεία τρίτου μέρους, με στόχο τον περιορισμό των πληροφοριών που στέλνονται σε κάθε εταιρεία;

  • Είναι εντάξει ο ανακαλύπτων να φέρει τις εταιρείες σε επαφή μεταξύ τους;

Ενοχλητικό λογισμικό

Παράδειγμα: είστε αρκετά ικανός ώστε να μπορείτε να γράψετε έναν ιό που πιστεύετε ότι είναι πιθανό να βοηθήσει τους χρήστες να προστατευτούν από τον κίνδυνο ασφαλείας, ή να εντοπίσουν αν κινδυνεύουν, ή να διορθώσουν τον κίνδυνο ασφαλείας.

  • Είναι εντάξει;

  • Είναι εντάξει ο ανακαλύπτων να κατευθύνει τους χρήστες σε τέτοιο λογισμικό ή/και σε οδηγούς ή σεμινάρια που περιγράφουν πώς να δημιουργηθεί αυτό το είδος λογισμικού;

Συντονισμένη γνωστοποίηση ευπαθειών έναντι υπεύθυνης γνωστοποίησης

Η συντονισμένη γνωστοποίηση ευπαθειών είναι ο προτιμώμενος όρος.

  • Η πιο σημαντική πτυχή είναι ο συντονισμός μεταξύ ανακαλύπτοντος και παραγωγού.

Η υπεύθυνη γνωστοποίηση (responsible disclosure) είναι όρος που έχει εγκαταλειφθεί.

  • Οι άνθρωποι έχουν διαφορετικές απόψεις για το τι σημαίνει να είναι κανείς υπεύθυνος. Για παράδειγμα, ορισμένοι υποστηρίζουν ότι είναι υπεύθυνο ο ανακαλύπτων να ειδοποιήσει αμέσως το κοινό ανεξάρτητα από οποιαδήποτε αλληλεπίδραση με τον παραγωγό, και ανεύθυνο να κάνει συντονισμένη γνωστοποίηση ευπαθειών επειδή αποκρύπτει πληροφορίες από το κοινό.

Παρακολούθηση