NCSC.nl

1. Εισαγωγή

Η κοινωνία ψηφιοποιείται όλο και περισσότερο. Στις μέρες μας, σχεδόν όλες οι διαδικασίες περιλαμβάνουν κάποια στιγμή τη χρήση υπολογιστών, από κινητά τηλέφωνα μέχρι εξειδικευμένο λογισμικό. Αν και αυτή η εξέλιξη δημιουργεί πολλές νέες ευκαιρίες, οι ευπάθειες στα συστήματα ΤΠ μπορούν να έχουν μεγάλο αντίκτυπο. Ως αποτέλεσμα, η γνώση για αυτές τις ευπάθειες θα πρέπει να αντιμετωπίζεται αποτελεσματικά.

Ορισμένοι οργανισμοί άρχισαν να δημοσιεύουν πολιτικές για το πώς να αναφέρονται οι ευπάθειες στις αρχές του 2013. Μετά από διαβούλευση με αυτά τα μέρη, το Εθνικό Κέντρο Κυβερνοασφάλειας (National Cyber Security Centre, NCSC) συνόψισε τις εξελίξεις υπό τη μορφή «Κατευθυντήριων γραμμών για την επίτευξη πρακτικής Responsible Disclosure» («Leidraad om te komen tot een praktijk van Responsible Disclosure»· οι «Κατευθυντήριες γραμμές»). Οι εταιρείες υποδεικνύουν μέσω αυτής της πολιτικής ότι είναι ανοιχτές στη λήψη εξωτερικών αναφορών ευπαθειών, περιγράφουν τις προϋποθέσεις τους και δίνουν υποσχέσεις. Αυτή η διαδικασία δημιούργησε σαφήνεια και ένα κάπως ασφαλές περιβάλλον για τα μέρη που αναφέρουν ώστε να ερευνούν και να αναφέρουν ευπάθειες χωρίς να διαπράττουν άμεσα ποινικό αδίκημα. Στη συνάντηση υψηλού επιπέδου της ΕΕ για την κυβερνοασφάλεια το 2016, 29 οργανισμοί επιβεβαίωσαν εκ νέου τη σημασία μιας πολιτικής για την αντιμετώπιση των ευπαθειών υπογράφοντας το Μανιφέστο Συντονισμένης Γνωστοποίησης Ευπαθειών (Coordinated Vulnerability Disclosure Manifesto)1 που ξεκίνησαν η CIO Platform Netherlands και η Rabobank σε συνεργασία με το NCSC.

Η Συντονισμένη Γνωστοποίηση Ευπαθειών (Coordinated Vulnerability Disclosure, CVD) έχει αποδειχθεί μεγάλης σημασίας για δημόσια και ιδιωτικά μέρη. Εξαρτώνται σε μεγάλο βαθμό από την απρόσκοπτη λειτουργία των πληροφοριακών συστημάτων στην καθημερινή πρακτική. Οι αναφορές ευπαθειών στα συστήματά τους έχουν βοηθήσει στη βελτίωση της ασφάλειας και της συνέχειας των συστημάτων τα τελευταία χρόνια, αφενός με την αποκατάσταση ευπαθειών και αφετέρου με τη συμβολή στη γενική ευαισθητοποίηση των ολλανδικών εταιρειών για την ασφάλεια ΤΠ.

Τα τελευταία χρόνια, έχει γίνει σαφές ότι τα μέρη που αναφέρουν είναι πρόθυμα να εργαστούν εντός των όρων της πολιτικής CVD που έχουν συντάξει οι οργανισμοί. Οι αναφορές γίνονται άμεσα ή έμμεσα σε οργανισμούς από τα μέρη που αναφέρουν. Η πρακτική της υπεύθυνης γνωστοποίησης έχει δείξει ότι τα καλόπιστα μέρη που αναφέρουν και οι ευάλωτοι οργανισμοί κατάφεραν να συνεργαστούν και έτσι να κάνουν το επόμενο βήμα στην αύξηση της ασφάλειας των δικτύων και των πληροφοριακών συστημάτων.

Για αυτήν την αναθεώρηση, μιλήσαμε για άλλη μία φορά με μια ευρεία και ποικίλη ομάδα μερών που αναφέρουν, ιδιωτικών και δημόσιων μερών, καθώς και με την Εισαγγελία και την Εθνική Αστυνομία. Αυτές οι συζητήσεις επιβεβαίωσαν την τρέχουσα πρακτική και οδήγησαν σε προσθήκες και βελτιώσεις. Το σημαντικότερο νέο σημείο προσοχής είναι η επικοινωνία μεταξύ του αναφέροντος την ευπάθεια και του οργανισμού, καθώς και με άλλα μέρη μετά την αποκατάσταση μιας ευπάθειας.

Τα επόμενα κεφάλαια συζητούν τον ορισμό της CVD, τα δομικά στοιχεία για μια πολιτική CVD και τη διαδικασία επικοινωνίας.

Παρένθεση: Οι προηγούμενες Κατευθυντήριες γραμμές χρησιμοποιούσαν τον όρο «responsible disclosure», ο οποίος ήταν ο κοινός όρος για αυτήν την πρακτική εκείνη την εποχή. Έχει εν τω μεταξύ γίνει σαφές ότι αυτός ο όρος δίνει υπερβολική έμφαση στην ευθύνη του μέρους που αναφέρει, ενώ η βασική αρχή είναι ότι το μέρος που αναφέρει και ο δυνητικά ευάλωτος οργανισμός θα πρέπει να είναι ισότιμοι εταίροι στον διάλογο. Αυτή η αίσθηση αποτυπώνεται καλύτερα στον τρέχοντα κοινώς χρησιμοποιούμενο όρο «Coordinated Vulnerability Disclosure» (CVD), που είναι επίσης το όνομα που χρησιμοποιείται στα πρότυπα ISO 29147 και 30111 για αυτή τη διαδικασία.

2. Συντονισμένη ευπάθεια

Διάφορες μέθοδοι έχουν χρησιμοποιηθεί τα τελευταία 30 χρόνια για την ευαισθητοποίηση σχετικά με τις ευπάθειες στα συστήματα ΤΠ. Παραδείγματα περιλαμβάνουν:

«Full Disclosure», η πλήρης δημοσιοποίηση μιας ευπάθειας·
«Non-disclosure», η πώληση ή η χρήση μιας ευπάθειας από τον ίδιο·
«Coordinated Vulnerability Disclosure» (CVD), η συντονισμένη γνωστοποίηση μιας ευπάθειας.

Η τελευταία πρακτική προτιμάται ρητά.

Η κοινότητα ΤΠ έχει δείξει μεγάλη προθυμία να μοιραστεί γνώση και εμπειρία. Η αναζήτηση συνεργασίας με αυτή την κοινότητα μπορεί επομένως να βοηθήσει στη βελτίωση της συνολικής ασφάλειας των συστημάτων.

Ο στόχος της συντονισμένης γνωστοποίησης ευπαθειών

Ο στόχος της CVD είναι να συμβάλει στην ασφάλεια των συστημάτων ΤΠ μοιραζόμενη γνώση για τις ευπάθειες. Στην CVD, η γνώση μοιράζεται με έναν ή περισσότερους δυνητικά ευάλωτους οργανισμούς ώστε να φτάσουν σε κοινή λύση για την ευπάθεια που βρέθηκε σε συνεργασία με το μέρος που αναφέρει. Είναι σημαντικό οι επηρεαζόμενοι οργανισμοί να έχουν επαρκή χρόνο για να αποκαταστήσουν τυχόν ευπάθειες ή να προστατεύσουν τα συστήματα ώστε να περιοριστεί ή να αποφευχθεί η απώλεια ή η ζημία όσο το δυνατόν περισσότερο. Ακρογωνιαίος λίθος της διαδικασίας είναι η γνωστοποίηση της γνώσης σχετικά με τις ευπάθειες μετά την αποκατάσταση.

Στην CVD είναι ουσιώδες όλα τα μέρη να τηρούν τις συμφωνίες για το πώς να αναφέρεται μια ευπάθεια και πώς να αντιμετωπίζεται. Βοηθά αν ένας οργανισμός δημοσιεύει εκ των προτέρων τις προϋποθέσεις, όπως ποια συστήματα εμπίπτουν στο πεδίο και ποιο είδος έρευνας μπορεί να διεξαχθεί. Μια σημαντική αρχή για αυτές τις προϋποθέσεις είναι ότι ο οργανισμός κατ' αρχήν δεν θα καταγγείλει το μέρος που αναφέρει ούτε θα λάβει άλλα νομικά μέτρα αν η έρευνα και η αναφορά διεξάγονται εντός των τεθέντων όρων. Αυτές οι Κατευθυντήριες γραμμές παρέχουν στους οργανισμούς καθοδήγηση στη σύνταξη της δικής τους πολιτικής ώστε να ενσωματώσουν τις αρχές της CVD.

Όπως υποδηλώνει το όνομα, είναι κεντρικό στην CVD ότι ο οργανισμός και το μέρος που αναφέρει συντονίζονται μεταξύ τους. Από αυτή την άποψη, θα πρέπει να υπάρχουν όσο το δυνατόν λιγότερες διαμεσολαβήσεις μεταξύ του ατόμου που αναφέρει την ευπάθεια και του ατόμου εντός του οργανισμού που είναι υπεύθυνο για την επίλυση του προβλήματος.

Μπορεί να είναι σημαντικό να ενημερωθούν πολλά μέρη ταυτόχρονα αν μια ευπάθεια επηρεάζει πολλά συστήματα. Στην περίπτωση αυτή, το NCSC ή άλλα μέρη εντός της κοινότητας ασφαλείας μπορούν να υποστηρίξουν τη διαδικασία CVD από συντονιστικό ρόλο.

3. Τομείς ευθύνης

Ο στόχος της εφαρμογής μιας πολιτικής CVD είναι τα μέρη που αναφέρουν και ο οργανισμός να συνεργάζονται ώστε να μειωθούν οι ευπάθειες στα συστήματα ΤΠ. Η εφαρμογή αυτής της πολιτικής θα πρέπει να θεωρείται συμπλήρωμα των υφιστάμενων μέτρων για την ασφάλεια πληροφοριών. Οι διάφοροι παράγοντες έχουν ο καθένας τον δικό του ρόλο και τις δικές του ευθύνες. Αυτές εξηγούνται αναλυτικότερα παρακάτω.

Ο οργανισμός που κατέχει/διαχειρίζεται ένα σύστημα

Ο οργανισμός που κατέχει/διαχειρίζεται ή προμηθεύει ένα σύστημα είναι πρωτίστως υπεύθυνος για την ασφάλεια αυτού του συστήματος. Με άλλα λόγια, ο οργανισμός είναι επίσης υπεύθυνος για την παρακολούθηση μιας αναφοράς ευπάθειας.

Ο οργανισμός μπορεί να επιλέξει να συντάξει τη δική του πολιτική CVD χρησιμοποιώντας αυτές τις Κατευθυντήριες γραμμές και να κοινοποιήσει αυτή την πολιτική σε δυνητικά μέρη που αναφέρουν. Με τη δημοσίευση μιας πολιτικής CVD, οι οργανισμοί δείχνουν την προθυμία τους να λαμβάνουν πληροφορίες για ευπάθειες.

Ένα μέρος που θεσπίζει μια πολιτική CVD μπορεί να δεσμευτεί στην αρχή ότι δεν θα υποβάλει καταγγελία στην αστυνομία αν τηρούνται οι κανόνες που ισχύουν για την πολιτική.

Μόλις ένα μέρος που αναφέρει έχει αναφέρει μια ευπάθεια, η ευθύνη ανήκει στον οργανισμό. Είναι σημαντικό να συνειδητοποιήσουμε ότι το μέρος που αναφέρει είναι συχνά κάποιος εκτός του οργανισμού. Αυτό το μέρος δεν έχει άμεση εικόνα των εσωτερικών διαδικασιών που μπορούν να ενεργοποιηθούν αφού αναφερθεί μια ευπάθεια. Ως αποτέλεσμα, τα μέρη που αναφέρουν θα εκτιμήσουν να ενημερώνονται για τις εξελίξεις στην επίλυση της ευπάθειας. Αυτή η συνεχής επικοινωνία είναι επίσης σημαντική για τη δημιουργία των σωστών προσδοκιών σχετικά με την παρακολούθηση και την έγκαιρη επίλυση.

Το μέρος που αναφέρει μια ευπάθεια

Με τον ένα ή τον άλλο τρόπο, το μέρος που αναφέρει κατάφερε να εντοπίσει μια ευπάθεια και θέλει να συμβάλει στην ασφάλεια των συστημάτων ΤΠ ζητώντας την αποκατάσταση αυτής της ευπάθειας και πιθανώς τη δημοσιοποίησή της σε μεταγενέστερο στάδιο. Το μέρος που αναφέρει μπορεί να ανακάλυψε κάτι μέσω παθητικής παρατήρησης ή με ενεργό δοκιμή του συστήματος ΤΠ. Φυσικά, αυτό το μέρος είναι υπεύθυνο για τις δικές του ενέργειες και τον τρόπο με τον οποίο ανακάλυψε την ευπάθεια. Είναι ευθύνη του ίδιου του μέρους που αναφέρει να γνωρίζει τους όρους που θέτει ένας οργανισμός στην πολιτική CVD του. Οι περισσότερες κυβερνήσεις και εταιρείες έχουν δημοσιεύσει τις πολιτικές CVD τους στους ιστότοπούς τους.

Η εύρεση ευπαθειών μπορεί, ωστόσο, να συνεπάγεται παραβίαση του νόμου. Στο πλαίσιο της CVD, ο οργανισμός και το μέρος που αναφέρει μπορούν να συμφωνήσουν ότι δεν θα υποβάλουν καταγγελία για τυχόν ποινικές πράξεις. Από την άποψη αυτή, η πολιτική CVD που δημοσιεύει ο οργανισμός είναι η κατευθυντήρια αρχή. Τα μέρη μπορούν επίσης να συμφωνήσουν ότι δεν θα ληφθεί αστική δράση.

Αν υπάρχει υποψία ότι ο νόμος έχει παραβιαστεί από το μέρος που αναφέρει, μια πολιτική CVD μπορεί πρωτίστως να βοηθήσει στο να αποτραπεί η καταγγελία του αναφέροντος στις αρχές. Αυτή η διαδικασία εξαρτάται εξ ολοκλήρου από τις προϋποθέσεις της πολιτικής με τις οποίες ένας οργανισμός απαιτεί από ένα μέρος που αναφέρει να συμμορφωθεί και από το αν έχει επιτευχθεί αυτή η συμμόρφωση, ενδεχομένως με αντίστοιχη υπόσχεση να μην υποβληθεί ποινική καταγγελία εφόσον το μέρος λειτουργεί εντός των όρων της πολιτικής. Αν γίνει καταγγελία στην αστυνομία, η ύπαρξη και η συμμόρφωση με μια πολιτική CVD είναι σχετική περίσταση στην Ολλανδία, την οποία ο Εισαγγελέας θα λάβει υπόψη όταν αποφασίζει αν θα κινήσει ποινική έρευνα ή/και θα ασκήσει δίωξη. Κατ' αρχήν, η αστυνομία και η Εισαγγελία (OM) δεν θα κινήσουν ποινική έρευνα αν το μέρος που αναφέρει έχει συμμορφωθεί σαφώς με τους κανόνες της πολιτικής CVD του εν λόγω οργανισμού. Ωστόσο, η Εισαγγελία και η αστυνομία μπορούν να ερευνήσουν περαιτέρω την υπόθεση αν υπάρχουν ενδείξεις ότι το μέρος που αναφέρει έχει πάει συνειδητά ή ασυνείδητα πολύ μακριά στις ενέργειές του ή/και δεν συμμορφώθηκε με την πολιτική CVD. Με βάση αυτή την έρευνα, η Εισαγγελία μπορεί να αποφασίσει αν θα ασκήσει δίωξη.

Η Εισαγγελία έχει δημοσιεύσει μια επιστολή πολιτικής στην οποία ασχολείται πιο συγκεκριμένα με πτυχές που είναι σημαντικές για τη λήψη απόφασης για έρευνα ή/και δίωξη. Για παράδειγμα, αν οι ενέργειες του μέρους που αναφέρει εξυπηρέτησαν σημαντικό δημόσιο συμφέρον, αν το μέρος ενήργησε δυσανάλογα και αν το μέρος θα μπορούσε ίσως να είχε ενεργήσει με άλλο, λιγότερο δραστικό τρόπο. Η σχετική επιστολή πολιτικής εξειδικεύει περαιτέρω αυτές τις πτυχές.2 Η σχετική νομολογία από το 20133 δείχνει ότι αυτές οι πτυχές λαμβάνονται επίσης υπόψη στο δικαστήριο αν ένας οργανισμός δεν έχει πολιτική CVD.

4. Δομικά στοιχεία της διαδικασίας Συντονισμένης Γνωστοποίησης Ευπαθειών

Παρακάτω παρέχονται δομικά στοιχεία για τη διαμόρφωση της διαδικασίας CVD για τον οργανισμό, τον αναφέροντα και το NCSC.

Ο οργανισμός

Η προώθηση της CVD ξεκινά από έναν οργανισμό που κατέχει συστήματα ΤΠ ή που προμηθεύει ένα προϊόν/σύστημα ΤΠ. Εξάλλου, αυτός ο οργανισμός είναι πρωτίστως υπεύθυνος για την ασφάλεια πληροφοριών αυτών των συστημάτων ΤΠ. Για να συνεργάζεται αποτελεσματικά με διάφορα μέρη για την επίλυση ευπαθειών, ένας οργανισμός μπορεί να αποφασίσει να συντάξει και να δημοσιεύσει μια πολιτική CVD. Η σύνταξη της δικής του πολιτικής CVD επιτρέπει στον οργανισμό να δείξει πώς αντιμετωπίζει τις αναφορές ευπαθειών. Με αυτόν τον τρόπο, ένας οργανισμός μπορεί επίσης να διαμορφώσει τον τρόπο με τον οποίο επιθυμεί να λαμβάνει ειδοποιήσεις. Μια τέτοια διαδικασία μπορεί να οργανωθεί ως εξής:

Ο οργανισμός θεσπίζει και δημοσιεύει μια πολιτική CVD.
Σε αυτή την πολιτική, ο οργανισμός παρέχει σαφείς κανόνες για την έρευνα που τα μέρη που αναφέρουν μπορούν να διεξάγουν, όπως ποιες τεχνικές επιτρέπονται και ποια συστήματα εμπίπτουν ή όχι στο πεδίο.
Ο οργανισμός διευκολύνει το μέρος που αναφέρει να κάνει αναφορά. Μία επιλογή είναι η χρήση τυποποιημένης μεθόδου αναφοράς· για παράδειγμα, μιας συγκεκριμένης διεύθυνσης email ή διαδικτυακής φόρμας. Επιπλέον, ο οργανισμός μπορεί να αποφασίσει αν θα δέχεται ανώνυμες αναφορές.
Ο οργανισμός δεσμεύει εσωτερική δυναμικότητα και θεσπίζει μια διαδικασία ώστε να ανταποκρίνεται επαρκώς στις αναφορές. Συνιστάται η θέσπιση διαδικασίας με την οποία τυχόν ευπάθειες που βρέθηκαν μπορούν να αποκατασταθούν επαρκώς. Από την άποψη αυτή, η προέλευση της αναφοράς είναι άσχετη. Η ευπάθεια μπορεί επίσης να έχει εντοπιστεί από εσωτερικό υπάλληλο ή κατά τη διάρκεια μιας δοκιμής, για παράδειγμα.
Η πρακτική εμπειρία δείχνει ότι θα υπάρξει μεγαλύτερο ενδιαφέρον για την αναφορά ευπαθειών στον οργανισμό μετά την αρχική δημοσίευση μιας πολιτικής CVD. Ο οργανισμός θα πρέπει να το λάβει υπόψη κατά τον σχεδιασμό (επιπλέον) δυναμικότητας.
Όταν ο οργανισμός λαμβάνει την αναφορά ευπάθειας, διασφαλίζει ότι η αναφορά φτάνει το συντομότερο στο τμήμα που είναι πιο κατάλληλο για να την αξιολογήσει και να την χειριστεί.
Ο οργανισμός στέλνει επιβεβαίωση λήψης της αναφοράς στο μέρος που αναφέρει, κατά προτίμηση ψηφιακά υπογεγραμμένη για να τονιστεί η προτεραιότητα.
Στη συνέχεια, ο οργανισμός θα εισέλθει σε διαβούλευση με το μέρος που αναφέρει ώστε να καθοριστεί η περίοδος εντός της οποίας θα γίνει οποιαδήποτε δημοσίευση. Αυτή η περίοδος θα εξαρτηθεί σε μεγάλο βαθμό από τη φύση της ευπάθειας και τον τύπο του συστήματος.
Ως οδηγία, συχνά χρησιμοποιείται περίοδος περίπου 60 ημερών για ευπάθειες λογισμικού. Η αποκατάσταση ευπαθειών στο υλικό είναι πιο δύσκολο να επιτευχθεί· μπορεί να χρησιμοποιηθεί οδηγία 6 μηνών.
Μπορεί να είναι επιθυμητό να παραταθεί ή να συντομευτεί αυτή η περίοδος με αμοιβαία συμφωνία ανάλογα με το πόσα ή πόσο λίγα συστήματα ΤΠ εξαρτώνται από το σύστημα για το οποίο αναφέρθηκε η ευπάθεια ή αν η ευπάθεια είναι ευκολότερο ή δυσκολότερο να επιλυθεί.
Μια ευπάθεια μπορεί να αποδειχθεί δύσκολο ή αδύνατο να επιλυθεί ή μπορεί να υπάρχουν υψηλά κόστη για την επίλυσή της. Σε τέτοιες περιπτώσεις, ο οργανισμός μπορεί να συμφωνήσει να θεωρήσει την ευπάθεια αποδεκτό κίνδυνο και να μην την αποκαταστήσει, ενδεχομένως κατόπιν διαβούλευσης με το μέρος που αναφέρει.
Ο οργανισμός θα ενημερώνει το μέρος που αναφέρει για την εξέλιξη της διαδικασίας.
Επιπλέον, ο οργανισμός μπορεί να προσφέρει να αναγνωριστεί δημόσια το μέρος που αναφέρει για τη δημοσίευση της ευπάθειας. Είναι επίσης δυνατό να επιλεγεί μια από κοινού γνωστοποίηση προς τον έξω κόσμο.
Είναι προτιμότερο να ανταμείβεται το μέρος που αναφέρει για την αναφορά ευπαθειών σε συστήματα αν το μέρος έχει συμμορφωθεί με τους κανόνες της πολιτικής CVD. Το ποσό της ανταμοιβής μπορεί να εξαρτάται από την ποιότητα της αναφοράς. Η ανταμοιβή του μέρους που αναφέρει μπορεί να δημιουργήσει καλύτερη σχέση μεταξύ αυτού του μέρους και του οργανισμού, καθώς και να αυξήσει την προθυμία των ανθρώπων να κάνουν νέες αναφορές σύμφωνα με την πολιτική CVD.
Σε διαβούλευση με το μέρος που αναφέρει, ο οργανισμός μπορεί να συμφωνήσει να ενημερώσει την ευρύτερη κοινότητα ΤΠ για την ευπάθεια αν είναι εύλογο ότι η ευπάθεια υπάρχει και σε άλλα σημεία.
Στην πολιτική CVD του, ο οργανισμός μπορεί να δεσμευτεί στην αρχή ότι δεν θα υποβάλει καταγγελία στην αστυνομία αν το μέρος που αναφέρει έχει συμμορφωθεί με τους κανόνες που περιγράφονται στην πολιτική.

Το μέρος που αναφέρει

Το μέρος που αναφέρει είναι το κλειδί για μια επιτυχημένη διαδικασία CVD. Με τον ένα ή τον άλλο τρόπο, αυτό το μέρος κατάφερε να εντοπίσει μια ευπάθεια και θέλει να συμβάλει στην ασφάλεια των συστημάτων ΤΠ ζητώντας να αποκατασταθεί αυτή η ευπάθεια από έναν οργανισμό και να δημοσιοποιηθεί. Με αυτόν τον τρόπο, τα μέρη που αναφέρουν αναγνωρίζουν ότι μπορούν να συνεισφέρουν σημαντικά στην κοινωνία αποκαλύπτοντας ευπάθειες με συντονισμένο τρόπο. Για να επιτευχθεί μια επιτυχημένη διαδικασία CVD, τα ακόλουθα δομικά στοιχεία είναι σημαντικά για το μέρος που αναφέρει:

Το μέρος που αναφέρει είναι υπεύθυνο για τις δικές του ενέργειες και πρέπει να τηρεί τις αρχές της αναλογικότητας καθώς και της επικουρικότητας (subsidiarity) κατά την έρευνα και την αναφορά ευπαθειών. Με άλλα λόγια, το μέρος που αναφέρει δεν πρέπει να κάνει περισσότερα από όσα είναι απαραίτητα για να αποδείξει την ευπάθεια και πρέπει πάντα να αναφέρει πρώτα την ευπάθεια στον κάτοχο του συστήματος/των πληροφοριών.
Το μέρος που αναφέρει πρέπει να αναφέρει το πρόβλημα το συντομότερο δυνατό ώστε να αποτρέψει κακόβουλα μέρη από το να ανακαλύψουν την ευπάθεια και να την εκμεταλλευτούν.
Το μέρος που αναφέρει πρέπει να κάνει την αναφορά στον οργανισμό με εμπιστευτικό τρόπο ώστε να αποτρέψει άλλους από το να αποκτήσουν πρόσβαση σε αυτές τις πληροφορίες.
Το μέρος που αναφέρει δεν μπορεί να εξαρτά την υποβολή αναφοράς ή την περαιτέρω παροχή πληροφοριών από την ανταμοιβή. Η πρωτοβουλία για τη χορήγηση ανταμοιβής σε περίπτωση αναφοράς ανήκει στον οργανισμό που λαμβάνει, ο οποίος μπορεί να περιγράψει προϋποθέσεις στη δημοσιευμένη πολιτική του.
Το μέρος που αναφέρει και ο οργανισμός κάνουν σαφείς συμφωνίες για τη γνωστοποίηση της ευπάθειας. Αν εμπλέκεται περισσότερος από ένας οργανισμός, η βασική αρχή είναι ότι οι ευπάθειες μπορούν να δημοσιευτούν μόνο αν όλοι οι οργανισμοί συμφωνούν σε αυτό. Η σύναψη αυτών των συμφωνιών σε πρώιμο στάδιο είναι σκόπιμη.
Το μέρος που αναφέρει και ο εμπλεκόμενος οργανισμός μπορούν να κάνουν συμφωνίες για την ενημέρωση της ευρύτερης κοινότητας ΤΠ. Για παράδειγμα, αυτή η κατάσταση μπορεί να ισχύει για ευπάθεια (είτε ήδη γνωστή είτε όχι) που είναι γνωστό ότι υπάρχει σε περισσότερα από ένα μέρη. Το Εθνικό Κέντρο Κυβερνοασφάλειας (NCSC) μπορεί να εμπλακεί σε αυτή τη διαδικασία για να υποστηρίξει τις ομάδες-στόχους της κεντρικής κυβέρνησης και της κρίσιμης υποδομής ή για να ενημερώσει πολλά μέρη σε περίπτωση ευπάθειας που επηρεάζει πολλά συστήματα.

Το NCSC

Η διαδικασία CVD είναι πρωτίστως υπόθεση των οργανισμών και των μερών που αναφέρουν. Παρόλα αυτά, το NCSC θα ενθαρρύνει τη χρήση μιας διαδικασίας CVD. Σε διαβούλευση με το μέρος που αναφέρει και τον οργανισμό, το NCSC μπορεί επίσης να εμπλακεί στην κοινοποίηση πληροφοριών για την ευπάθεια στην κοινότητά του ώστε να περιοριστούν περαιτέρω κίνδυνοι ασφαλείας που προκύπτουν από την ευπάθεια.

Αν η αναφορά της ευπάθειας δεν εξελίσσεται όπως περιμένει το μέρος που αναφέρει, ή αν προτιμά να μην αναφέρει την ευπάθεια απευθείας στον οργανισμό, μπορεί να επικοινωνήσει με το NCSC.4 Σε αυτή την περίπτωση, το NCSC μπορεί να ενεργήσει ως διαμεσολαβητής όπου χρειάζεται.

Ο κάτοχος του συστήματος ΤΠ είναι ανά πάσα στιγμή υπεύθυνος για την ασφάλεια του συστήματος. Το NCSC δεν μπορεί να αναγκάσει τον κάτοχο του συστήματος να αποκαταστήσει μια ευπάθεια ούτε μπορεί να εγγυηθεί ότι ο κάτοχος δεν θα λάβει νομικά μέτρα κατά του μέρους που αναφέρει. Ως αποτέλεσμα, το μέρος που αναφέρει πρέπει να λάβει υπόψη τα προαναφερθέντα δομικά στοιχεία για οργανισμούς και μέρη που αναφέρουν κατά την αναζήτηση και την αναφορά μιας ευπάθειας. Ένα μέρος που αναφέρει μπορεί να περιμένει από το NCSC να καταβάλει κάθε προσπάθεια ώστε να αποκατασταθεί η ευπάθεια και να χειριστεί την αναφορά εμπιστευτικά. Το NCSC δεν μοιράζεται προσωπικά δεδομένα εκτός αν υποχρεούται νομικά να το κάνει.

Αν είναι δυνατόν, το NCSC θα χρησιμοποιεί τις πληροφορίες που λαμβάνει για ευπάθειες σε διαβούλευση με οργανισμούς και μέρη που αναφέρουν για περαιτέρω κοινοποίηση της γνώσης στην κοινότητα ΤΠ. Για παράδειγμα, μπορεί να το κάνει δημοσιεύοντας μέρος των πληροφοριών, γράφοντας ή ενημερώνοντας ένα ενημερωτικό δελτίο (fact sheet) ή λευκή βίβλο (white paper) ή ενημερώνοντας συγκεκριμένους οργανισμούς.

Ανάλογα με τον οργανισμό που αφορά και τη φύση της ευπάθειας που διαπιστώθηκε, το NCSC θα καταβάλει προσπάθεια να φέρει την ευπάθεια στην προσοχή του οργανισμού που αφορά. Ωστόσο, ο κάτοχος του εν λόγω συστήματος ΤΠ παραμένει υπεύθυνος για το σύστημα.
Όπου είναι δυνατόν και απαραίτητο, το NCSC θα παρέχει στον οργανισμό που αφορά συμβουλές για το πώς να αποκαταστήσει την ευπάθεια.
Το NCSC θα χειρίζεται τις αναφορές εμπιστευτικά και δεν θα μοιράζεται τα προσωπικά δεδομένα των μερών που αναφέρουν ή του οργανισμού που λαμβάνει χωρίς συναίνεση, εκτός αν προκύπτει από νομική υποχρέωση.
Όπου είναι δυνατόν, το NCSC θα ενημερώνει το μέρος που αναφέρει για τις εξελίξεις στην επαφή με τον οργανισμό και στην αποκατάσταση της ευπάθειας.
Σε περιπτώσεις όπου γίνεται αναφορά στο NCSC, το NCSC θα προσπαθήσει να φέρει σε επαφή το μέρος που αναφέρει ή το δυνητικό μέρος που αναφέρει και τον οργανισμό μεταξύ τους.

Αν ένα μέρος που αναφέρει έχει βρει μια ευπάθεια σε ένα προϊόν λογισμικού ή μια ευπάθεια που επηρεάζει πολλά διαφορετικά συστήματα, για παράδειγμα, το μέρος που αναφέρει μπορεί να ζητήσει από το NCSC να συντονίσει την αποκατάσταση και τη γνωστοποίηση της ευπάθειας.

Μαζί με το μέρος που αναφέρει, συνεργάτες, προγραμματιστές ή/και προγραμματιστές λογισμικού και άλλες ομάδες ασφαλείας, το NCSC θα βοηθήσει στην ανάλυση, αποκατάσταση ή διασφάλιση αποκατάστασης, συντονισμό και γνωστοποίηση της ευπάθειας με ελεγχόμενο τρόπο. Όλη αυτή η διαδικασία πραγματοποιείται σε στενή διαβούλευση με το μέρος που αναφέρει που βρήκε την ευπάθεια.

Μια πολιτική CVD επιχειρεί να βρει ισορροπία μεταξύ της σημασίας της γνωστοποίησης ευπαθειών το συντομότερο δυνατό, ώστε να μπορούν να ληφθούν μέτρα, και της σημασίας του να έχουν οι προγραμματιστές καθώς και οι προμηθευτές επαρκή χρόνο για να αποκαταστήσουν την ευπάθεια. Για αυτή τη διαδικασία, το NCSC χρησιμοποιεί τυπική προθεσμία 60 ημερών μεταξύ της αναφοράς και της δημόσιας γνωστοποίησης. Ωστόσο, μπορεί να υπάρχουν περιστάσεις στις οποίες μπορεί να αποφασιστεί η παράταση ή η συντόμευση αυτής της περιόδου.

Το NCSC θα μοιράζεται πληροφορίες για την ευπάθεια με τρίτους μόνο κατόπιν διαβούλευσης με το μέρος που αναφέρει. Είναι ουσιώδες σε αυτό το πλαίσιο το NCSC να συνεργάζεται και επομένως να μοιράζεται πληροφορίες για την ευπάθεια με ενδιαφερόμενα μέρη ώστε να γνωστοποιήσει μια ευπάθεια με συντονισμένο τρόπο. Το NCSC θα διασφαλίσει με αυτόν τον τρόπο ότι τα σωστά μέρη μπορούν να εργαστούν για την αποκατάσταση της ευπάθειας, θα βοηθήσει στον περιορισμό τυχόν απώλειας ή ζημίας και θα βοηθήσει να επιστήσει την προσοχή στην ευπάθεια που βρέθηκε.

5. Επικοινωνία και διαδικασία γνωστοποίησης

Πέντε χρόνια πρακτικής έχουν δείξει ότι η σαφής επικοινωνία είναι ο ακρογωνιαίος λίθος μιας επιτυχημένης διαδικασίας CVD. Υπάρχουν σημεία προσοχής πριν, κατά τη διάρκεια και μετά τη διαδικασία CVD.

Επικοινωνία για τη διαδικασία γνωστοποίησης

Η δημοσίευση μιας πολιτικής CVD είναι ένα πρώτο βήμα στην επικοινωνία για τη διαδικασία. Με τη δημόσια δημοσίευση μιας πολιτικής, τα μέρη που αναφέρουν προσκαλούνται να ειδοποιήσουν τον οργανισμό για τυχόν ευπάθειες που βρέθηκαν.

Αφενός, ο οργανισμός μπορεί να θέσει όρους για την έρευνα που γίνεται για την ανακάλυψη ευπαθειών και για τον τρόπο που αναζητείται επαφή. Αφετέρου, ο οργανισμός μπορεί να δεσμευτεί στην αρχή ότι δεν θα υποβάλει καταγγελία στην αστυνομία αν τηρούνται οι κανόνες της πολιτικής. Αυτή η προσέγγιση προστατεύει τη θέση του μέρους που αναφέρει.

Μια πολιτική CVD μπορεί να αλλάξει ή να ενημερωθεί σε μεταγενέστερη ημερομηνία. Είναι σημαντικό να είναι σαφείς οι αλλαγές από αυτή την άποψη. Τα μέρη που αναφέρουν έχουν συμφέρον να γνωρίζουν τι έχει αλλάξει και πότε. Για παράδειγμα, οι αλλαγές μπορούν να διευκρινιστούν συμπεριλαμβάνοντας ημερομηνία δημοσίευσης στην αρχή της πολιτικής CVD, περιγράφοντας μια σύνοψη των αλλαγών κάτω από την πολιτική CVD ή τηρώντας ένα αρχείο με παλιές εκδόσεις της πολιτικής CVD.

Η πολιτική CVD μπορεί να παρέχει οδηγίες για το πώς να επικοινωνείτε κατά τη διάρκεια της διαδικασίας, όπως υποδεικνύοντας τακτικές ενημερώσεις μέσω email ή διαδικτυακής πύλης. Επιπλέον, η πολιτική CVD μπορεί να περιγράφει πώς μπορεί να αναγνωριστεί ένας αναφέρων αναφέροντάς τον σε μια ενημέρωση, εισάγοντάς τον σε ένα hall of fame ή με οποιαδήποτε άλλη μορφή ανταμοιβής.

Επικοινωνία κατά τη διάρκεια της διαδικασίας γνωστοποίησης

Ένα μέρος που αναφέρει ξεκινά μια διαδικασία CVD στέλνοντας ένα μήνυμα στον οργανισμό. Σε αυτό το μήνυμα, το μέρος που αναφέρει δίνει μια σαφή περιγραφή της ευπάθειας που ανακαλύφθηκε. Σημαντικά στοιχεία είναι η διεύθυνση IP ή το URL του επηρεαζόμενου συστήματος και τα απαραίτητα βήματα για την αναπαραγωγή της ευπάθειας.

Είναι σημαντικό ο οργανισμός να επικοινωνεί σαφώς με το μέρος που αναφέρει ώστε οι προσδοκίες για τη διαδικασία να είναι σαφείς.

Μπορεί να το κάνει ήδη στέλνοντας επιβεβαίωση λήψης (αυτοματοποιημένη ή άλλη) που περιέχει ένδειξη της προθεσμίας εντός της οποίας θα σταλεί μια αρχική ή μεταγενέστερη ουσιαστική απάντηση.

Είναι επίσης δυνατόν να μείνει ανοιχτή αυτή η περίοδος και να δοθεί μια αρχική ένδειξη της προθεσμίας μετά την αξιολόγηση του περιεχομένου της αναφοράς. Συνιστάται να είναι σαφής το συντομότερο δυνατό η περίοδος εντός της οποίας μπορεί να επιτευχθεί μια λύση. Με αυτόν τον τρόπο, ο αναφέρων γνωρίζει πότε μπορεί να αναμένεται ένα αποτέλεσμα.

Σε ορισμένες περιπτώσεις μπορεί να είναι ήδη σαφής στο μέρος που αναφέρει μια ημερομηνία δημοσίευσης· για παράδειγμα, λόγω παρουσίασης σε συνέδριο ή επειδή το μέρος που αναφέρει έχει καθορίσει τη δική του προθεσμία. Σε αυτή την περίπτωση, είναι ακόμη σημαντικό το μέρος που αναφέρει να κοινοποιεί αυτό το χρονοδιάγραμμα σαφώς, να το δηλώνει όσο το δυνατόν νωρίτερα και να είναι σαφές σχετικά με τη δυνατότητα/αδυναμία αναβολής αυτής της ημερομηνίας.

Ένα μέρος που αναφέρει είναι συχνά κάποιος εκτός του οργανισμού, που δεν έχει καμία εικόνα για τις εσωτερικές διαδικασίες που μπορούν να ενεργοποιηθούν από μια αναφορά. Οι οργανισμοί μπορούν να ενημερώνουν το μέρος που αναφέρει για τις εξελίξεις της διαδικασίας μέσω τακτικών ενημερώσεων. Αυτή η προσέγγιση καθιστά σαφές σε ένα μέρος που αναφέρει ότι εργάζονται για μια λύση. Όπου χρειάζεται, ένας οργανισμός μπορεί να ζητήσει διευκρινίσεις ή να δοκιμάσει μια λύση κατά τη διάρκεια της διαδικασίας.

Αν ένας οργανισμός δεν μπορεί να τηρήσει την αρχική προθεσμία επίλυσης, μπορεί να συζητηθεί με τον αναφέροντα η αναβολή της. Η τακτική επικοινωνία μπορεί να καταστήσει αυτή την κατάσταση σαφή σε έναν αναφέροντα σε προγενέστερο στάδιο.

Η κύρια πρόθεση της CVD είναι να μετριάσει την ευπάθεια, αλλά η «πλήρης γνωστοποίηση» (full disclosure) της ευπάθειας είναι πάντα επιλογή για ένα μέρος που αναφέρει αν αισθάνεται ότι η διαδικασία θα διαρκέσει πολύ. Αυτό το μέτρο είναι το παροιμιώδες «μεγάλο ραβδί» (big stick) που έχει στη διάθεσή του το μέρος που αναφέρει. Φυσικά, αυτή η κατάσταση πρέπει να αποφεύγεται όσο το δυνατόν περισσότερο.

Επικοινωνία μετά τη διαδικασία γνωστοποίησης

Υπάρχουν πολλοί πιθανοί λόγοι για τους οποίους ένα μέρος που αναφέρει μπορεί να αναζητά ευπάθειες και στη συνέχεια να τις αναφέρει σε οργανισμούς μέσω της διαδικασίας CVD. Για μεγάλο αριθμό μερών που αναφέρουν, σημαντικό κίνητρο είναι η (δημόσια) αναγνώριση.

Τα μέρη που αναφέρουν λαμβάνουν δημόσια αναγνώριση μέσω ευχαριστιών σε μια ενημέρωση ή εισαγωγής σε ένα hall of fame (hall of fame). Ωστόσο, η ανάγκη για δημόσια αναγνώριση δεν ισχύει για όλα τα μέρη που αναφέρουν· ορισμένα στην πραγματικότητα δεν θέλουν να γίνονται γνωστά στο κοινό. Σε περίπτωση επικοινωνίας από τον οργανισμό, συνιστάται επομένως να λαμβάνεται η συναίνεση του μέρους που αναφέρει για την αναφορά του ονόματός του.

Επιπλέον, τα μέρη που αναφέρουν μπορούν επίσης να αποφασίσουν να επικοινωνήσουν για μια αναφορά μετά την ολοκλήρωση της διαδικασίας CVD. Για παράδειγμα, το μέρος που αναφέρει μπορεί να περιγράψει τη διαδικασία ανακάλυψης ή να προειδοποιήσει άλλους για την ευπάθεια. Ένας αναφέρων μπορεί να αποφασίσει να υποβάλει τη δημοσίευση σε έναν οργανισμό για ενημερωτικούς σκοπούς. Καθώς η διαδικασία CVD κατ' αρχήν ολοκληρώνεται μετά την άρση της ευπάθειας, το μέρος που αναφέρει είναι στη συνέχεια ελεύθερο να επικοινωνήσει σχετικά, εκτός αν γίνουν πρόσθετες συμφωνίες στην πολιτική ή κατά τη διάρκεια της διαδικασίας.

Λίστα

Επικοινωνία για τη διαδικασία γνωστοποίησης

Δημοσίευση της πολιτικής CVD στον ιστότοπο
Σαφήνεια σχετικά με περιορισμούς (δείτε το κεφάλαιο 6 για διαφορετικές προσεγγίσεις)
Περιορισμοί στις μεθόδους έρευνας
Κατευθυντήριες γραμμές για την επικοινωνία
Κατευθυντήριες γραμμές για πιθανές ανταμοιβές: Hall of fame, οικονομική ανταμοιβή, μπλουζάκι κ.λπ.
Σαφήνεια σχετικά με τυχόν ενημερώσεις της πολιτικής CVD, συμπεριλαμβανομένης της ημερομηνίας των αλλαγών

Επικοινωνία κατά τη διάρκεια της διαδικασίας γνωστοποίησης

Ο αναφέρων επικοινωνεί με τον οργανισμό για μια ευπάθεια που ανακαλύφθηκε.
Ο οργανισμός διαχειρίζεται τις προσδοκίες, όπως ο χρόνος απόκρισης για μια πρώτη τεχνική απάντηση
Ο οργανισμός και ο αναφέρων παρέχουν σαφήνεια ο ένας στον άλλον σχετικά με την αναμενόμενη περίοδο επίλυσης
Ο οργανισμός παρέχει συχνά μια ενημέρωση (διαδικασίας)
Όπου χρειάζεται, ο αναφέρων και ο οργανισμός συζητούν την επικοινωνία με άλλους σχετικούς οργανισμούς

Επικοινωνία μετά τη διαδικασία γνωστοποίησης

Συζήτηση για τη (δημόσια) αναγνώριση και την ανταμοιβή του αναφέροντος
Συμφωνία για το πώς θα δημοσιευθούν πληροφορίες για την ευπάθεια, όπως η φάση έρευνας ή η ενημέρωση άλλων οργανισμών

6. Παραδείγματα πολιτικής Συντονισμένης Γνωστοποίησης Ευπαθειών

Υπάρχουν πολλές διαφορετικές μορφές κειμένων πολιτικής για τη Συντονισμένη Γνωστοποίηση Ευπαθειών. Καθώς η δημοσιευμένη πολιτική CVD λειτουργεί ως οδοδείκτης για δυνητικά μέρη που αναφέρουν, βεβαιωθείτε ότι η μορφή αυτής της πολιτικής είναι σύμφωνη με την πολιτική και τη στρατηγική του οργανισμού.

Τα ακόλουθα στοιχεία είναι σημαντικά σε μια πολιτική CVD:

μέθοδος επικοινωνίας για ασφαλή επικοινωνία·
προϋποθέσεις για τα μέρη που αναφέρουν·
σαφείς προσδοκίες για τον χειρισμό μιας αναφοράς·
μέθοδος ανταμοιβής μιας αναφοράς·
αριθμός έκδοσης και ημερομηνία τελευταίας αναθεώρησης.

Παρακάτω υπάρχουν τρία παραδείγματα: Πολλοί οργανισμοί στην Ολλανδία έχουν αντλήσει από το βασικό παράδειγμα του ResponsibleDisclosure.nl. Άλλοι οργανισμοί περιλαμβάνουν πρόσθετες προϋποθέσεις, δείτε την πολιτική της Fox IT. Άλλοι οργανισμοί ακόμη εφαρμόζουν πιο ελεύθερη μορφή ώστε να ευθυγραμμίζονται με το κοινό-στόχο τους, δείτε την πολιτική της Bits of Freedom.

Παράδειγμα: ResponsibleDisclosure.nl

Αυτό το κείμενο γράφτηκε από τη Floor Terra και δημοσιεύεται με άδεια Creative Commons Attribution 3.0 Unported.

Στην Acme Corporation θεωρούμε την ασφάλεια των συστημάτων μας ύψιστη προτεραιότητα. Αλλά όσες προσπάθειες κι αν καταβάλουμε για την ασφάλεια των συστημάτων, μπορεί να υπάρχουν ακόμη ευπάθειες.

Αν ανακαλύψετε μια ευπάθεια, θα θέλαμε να το μάθουμε ώστε να λάβουμε μέτρα για την αντιμετώπισή της όσο το δυνατόν συντομότερα.

Θα θέλαμε να σας ζητήσουμε να μας βοηθήσετε να προστατεύσουμε καλύτερα τους πελάτες και τα συστήματά μας.

Παρακαλούμε κάντε τα εξής:

Στείλτε τα ευρήματά σας με email στο cert@example.com. Κρυπτογραφήστε τα ευρήματά σας με το κλειδί PGP μας για να αποτρέψετε αυτές τις κρίσιμες πληροφορίες από το να πέσουν σε λάθος χέρια,
Μην εκμεταλλευτείτε την ευπάθεια ή το πρόβλημα που ανακαλύψατε, για παράδειγμα κατεβάζοντας περισσότερα δεδομένα από όσα χρειάζονται για να αποδείξετε την ευπάθεια ή διαγράφοντας ή τροποποιώντας δεδομένα άλλων ανθρώπων,
Μην αποκαλύψετε το πρόβλημα σε άλλους μέχρι να επιλυθεί,
Μη χρησιμοποιείτε επιθέσεις στη φυσική ασφάλεια, κοινωνική μηχανική, κατανεμημένη άρνηση υπηρεσίας, spam ή εφαρμογές τρίτων, και
Δώστε επαρκείς πληροφορίες για να αναπαραχθεί το πρόβλημα, ώστε να μπορέσουμε να το επιλύσουμε όσο το δυνατόν συντομότερα. Συνήθως, η διεύθυνση IP ή το URL του επηρεαζόμενου συστήματος και μια περιγραφή της ευπάθειας θα επαρκούν, αλλά οι σύνθετες ευπάθειες μπορεί να απαιτούν περαιτέρω εξήγηση.

Τι υποσχόμαστε:

Θα απαντήσουμε στην αναφορά σας εντός 3 εργάσιμων ημερών με την αξιολόγησή μας για την αναφορά και μια αναμενόμενη ημερομηνία επίλυσης,
Αν έχετε ακολουθήσει τις παραπάνω οδηγίες, δεν θα προβούμε σε καμία νομική ενέργεια εναντίον σας σχετικά με την αναφορά,
Θα χειριστούμε την αναφορά σας με αυστηρή εμπιστευτικότητα και δεν θα διαβιβάσουμε τα προσωπικά σας στοιχεία σε τρίτους χωρίς την άδειά σας,
Θα σας ενημερώνουμε για την πρόοδο προς την επίλυση του προβλήματος,
Στις δημόσιες πληροφορίες σχετικά με το αναφερθέν πρόβλημα, θα δώσουμε το όνομά σας ως του ανακαλύπτοντος του προβλήματος (εκτός αν επιθυμείτε διαφορετικά), και
Ως ένδειξη ευγνωμοσύνης για τη βοήθειά σας, προσφέρουμε ανταμοιβή για κάθε αναφορά ενός προβλήματος ασφαλείας που δεν ήταν ακόμη γνωστό σε εμάς. Το ποσό της ανταμοιβής θα καθοριστεί με βάση τη σοβαρότητα της διαρροής και την ποιότητα της αναφοράς. Η ελάχιστη ανταμοιβή θα είναι μια δωροκάρτα αξίας 50 €.

Προσπαθούμε να επιλύσουμε όλα τα προβλήματα όσο το δυνατόν συντομότερα και θα θέλαμε να διαδραματίσουμε ενεργό ρόλο στην τελική δημοσίευση για το πρόβλημα αφού επιλυθεί.

Παράδειγμα: Fox-IT

Στη Fox-IT θεωρούμε την ασφάλεια των συστημάτων, του δικτύου και των προϊόντων μας εξαιρετικά σημαντική. Παρά τη μεγάλη φροντίδα που δείχνουμε για την ασφάλεια, μπορεί να παραμένουν αδύναμα σημεία. Αν έχετε βρει μια τέτοια αδυναμία, θα θέλαμε να το μάθουμε το συντομότερο δυνατό ώστε να λάβουμε τα κατάλληλα μέτρα όσο πιο γρήγορα γίνεται.

Τα αδύναμα σημεία μπορούν να ανακαλυφθούν με δύο τρόπους: μπορεί να πέσετε τυχαία πάνω σε κάτι κατά την κανονική χρήση ενός ψηφιακού περιβάλλοντος ή μπορεί ρητά να κάνετε ό,τι μπορείτε για να τα βρείτε.

Η πολιτική υπεύθυνης γνωστοποίησής μας δεν αποτελεί πρόσκληση για ενεργή σάρωση του επιχειρηματικού μας δικτύου για την ανακάλυψη αδύναμων σημείων. Παρακολουθούμε το επιχειρηματικό μας δίκτυο οι ίδιοι. Αυτό σημαίνει ότι υπάρχει μεγάλη πιθανότητα μια σάρωση να εντοπιστεί και να διεξαχθεί έρευνα από το Κέντρο Επιχειρήσεων Ασφαλείας (Security Operation Center, SOC) μας, κάτι που θα μπορούσε να οδηγήσει σε περιττό κόστος. Ωστόσο, σας προσκαλούμε να αναζητήσετε ενεργά ευπάθειες στα προϊόντα μας σε περιβάλλον εκτός σύνδεσης, εκτός παραγωγής, και να μας αναφέρετε τα ευρήματά σας. Η ευθύνη μας απέναντι στους πελάτες σημαίνει ότι πρόθεσή μας δεν είναι να ενθαρρύνουμε απόπειρες χάκινγκ στην υποδομή τους· ωστόσο, θα θέλαμε να ακούσουμε από εσάς το συντομότερο δυνατό αν βρεθούν ευπάθειες, ώστε να τις επιλύσουμε επαρκώς.

Θα θέλαμε να συνεργαστούμε μαζί σας για να μπορέσουμε να προστατεύσουμε καλύτερα τους πελάτες και τα συστήματά μας.

Σας ζητάμε να:

Στείλετε τα ευρήματά σας με email το συντομότερο δυνατό στο security-alert@fox-it.com.
Μην καταχραστείτε την ευπάθεια· για παράδειγμα, κατεβάζοντας, επεξεργαζόμενοι ή διαγράφοντας δεδομένα. Θα παίρνουμε πάντα στα σοβαρά την αναφορά σας και θα ερευνούμε οποιαδήποτε υποψία ευπάθειας, ακόμη και χωρίς απόδειξη.
Μη μοιραστείτε το πρόβλημα με άλλους μέχρι να επιλυθεί.
Μη χρησιμοποιήσετε επιθέσεις στη φυσική ασφάλεια, κοινωνική μηχανική ή εργαλεία χάκινγκ, όπως σαρωτές ευπαθειών.
Δώστε επαρκείς πληροφορίες για να αναπαραχθεί το πρόβλημα ώστε να μπορέσουμε να το επιλύσουμε όσο το δυνατόν συντομότερα. Συνήθως, η διεύθυνση IP ή το URL του επηρεαζόμενου συστήματος και μια περιγραφή της ευπάθειας επαρκούν, αν και ενδέχεται να χρειάζονται περισσότερες πληροφορίες για πιο σύνθετες ευπάθειες.

Τι υποσχόμαστε:

Θα απαντήσουμε στην αναφορά σας εντός τριών εργάσιμων ημερών, με την αξιολόγησή μας για την αναφορά και μια αναμενόμενη ημερομηνία επίλυσης.
Θα χειριστούμε την αναφορά σας εμπιστευτικά και δεν θα μοιραστούμε τα προσωπικά σας στοιχεία με τρίτους χωρίς την άδειά σας. Εξαίρεση σε αυτό αποτελούν η αστυνομία και η δικαιοσύνη σε περίπτωση δίωξης ή αν ζητηθούν πληροφορίες.
Θα σας ενημερώνουμε για την πρόοδο της λύσης του προβλήματος.
Στην επικοινωνία για το αναφερθέν πρόβλημα, θα αναφέρουμε το όνομά σας ως του μέρους που ανακάλυψε το πρόβλημα, αν το επιθυμείτε.
Δυστυχώς δεν είναι δυνατόν να εγγυηθούμε εκ των προτέρων ότι δεν θα ληφθεί νομική ενέργεια εναντίον σας. Ελπίζουμε να μπορούμε να εξετάζουμε κάθε περίπτωση ξεχωριστά. Θεωρούμε ότι έχουμε ηθική υποχρέωση να σας καταγγείλουμε αν υποπτευόμαστε ότι η αδυναμία ή τα δεδομένα γίνονται αντικείμενο κατάχρησης, ή ότι έχετε μοιραστεί τη γνώση της αδυναμίας με άλλους. Μπορείτε να είστε βέβαιοι ότι μια τυχαία ανακάλυψη στο διαδικτυακό μας περιβάλλον δεν θα οδηγήσει σε δίωξη.
Ως ευχαριστία για τη βοήθειά σας, προσφέρουμε ανταμοιβή για κάθε αναφορά ενός προβλήματος ασφαλείας που δεν είναι γνωστό σε εμάς. Καθορίζουμε την αξία της ανταμοιβής με βάση τη σοβαρότητα της παραβίασης και την ποιότητα της αναφοράς.

Προσπαθούμε να επιλύσουμε όλα τα προβλήματα όσο το δυνατόν συντομότερα, να κρατάμε ενήμερα όλα τα εμπλεκόμενα μέρη και θα θέλαμε να εμπλακούμε σε οποιαδήποτε δημοσίευση για το πρόβλημα αφού επιλυθεί.

Παράδειγμα: Bits of Freedom

Η εξάρτησή μας από την ψηφιακή υποδομή αυξάνεται συνεχώς. Αυτό ισχύει για την κοινωνία συνολικά, αλλά και για εμάς τους ίδιους. Είναι επομένως η άποψή μας ότι οι κυβερνήσεις και οι οργανισμοί (συμπεριλαμβανομένου του δικού μας) θα πρέπει να δεσμευτούν σθεναρά για την ασφάλεια της ψηφιακής υποδομής μας. Αντιλαμβανόμαστε ότι, παρά τις καλύτερες προθέσεις μας και τη μεγαλύτερη φροντίδα, ενδέχεται να υπάρχουν ευπάθειες στα συστήματά μας. Αν τύχει να βρείτε μία από αυτές τις αδυναμίες, θα χαρούμε να ακούσουμε από εσάς ώστε να επιλύσουμε το ζήτημα.

Τι περιμένουμε από εσάς

Όταν ερευνάτε ένα από τα συστήματά μας, να έχετε υπόψη την αναλογικότητα της επίθεσης. Δεν χρειάζεται να αποδείξετε ότι όταν υποβάλλετε τον ιστότοπό μας στη μεγαλύτερη επίθεση DDoS στην ιστορία του διαδικτύου, ο ιστότοπος μπορεί να καταστεί μη προσβάσιμος. Το γνωρίζουμε. Καταλαβαίνουμε επίσης ότι αν οδηγήσετε μια μπουλντόζα στο γραφείο μας, πιθανότατα θα μπορέσετε να αρπάξετε έναν από τους φορητούς υπολογιστές μας.
Αυτή η αρχή της αναλογικότητας είναι επίσης σχετική κατά την επίδειξη της ίδιας της ευπάθειας. Δεν πρέπει να επιθεωρήσετε ή να τροποποιήσετε περισσότερα δεδομένα από όσα είναι απολύτως απαραίτητα για να επιβεβαιώσετε την εγκυρότητα του ευρήματός σας. Για παράδειγμα, αν μπορείτε να τροποποιήσετε την αρχική σελίδα μας, απλώς προσθέστε μία μόνο μη αμφιλεγόμενη λέξη αντί να αναλάβετε ολόκληρη τη σελίδα. Αν μπορείτε να αποκτήσετε πρόσβαση σε βάση δεδομένων, αρκεί να μας δείξετε μια λίστα με τους πίνακες που υπάρχουν εκεί μέσα ή ίσως την πρώτη εγγραφή σε έναν από αυτούς τους πίνακες.
Μια ευπάθεια σε ένα από τα συστήματά μας θα πρέπει να αναφερθεί το συντομότερο δυνατό στέλνοντας email στο security@bof.nl. Κατά προτίμηση θα κρυπτογραφήσετε το μήνυμά σας χρησιμοποιώντας OpenPGP. Δώστε επαρκείς πληροφορίες ώστε να μπορέσουμε να αναπαράγουμε και να ερευνήσουμε το ζήτημα.
Το δημόσιο κλειδί OpenPGP για το security@bof.nl
Δεν θα μοιραστείτε τη γνώση σας για την ευπάθεια με άλλα μέρη όσο δεν έχουμε αντιμετωπίσει το ζήτημα και είμαστε ακόμη εντός ευλόγου χρονικού διαστήματος από τότε που αναφέρατε το ζήτημα.
Θα διαγράψετε όλες τις εμπιστευτικές πληροφορίες που αποκτήσατε κατά τη διάρκεια της έρευνάς σας μόλις επιλύσουμε την ευπάθεια.

Τι μπορείτε να περιμένετε από εμάς

Θα απαντήσουμε στην αναφορά σας εντός τριών ημερών με λεπτομερή τρόπο. Θα συμπεριλάβουμε μια εκτίμηση του χρόνου που θα χρειαστούμε για να αντιμετωπίσουμε το ζήτημα. Φυσικά, θα σας ενημερώνουμε τακτικά για την πρόοδό μας.
Θα επιλύσουμε την ευπάθεια το συντομότερο δυνατό. Κι εδώ η αναλογικότητα είναι σημαντική: ο χρόνος που απαιτείται για τη διόρθωση μιας ευπάθειας εξαρτάται από διάφορους παράγοντες, μεταξύ των οποίων η σοβαρότητα και η πολυπλοκότητα του εν λόγω ζητήματος.
Όταν ακολουθείτε τις οδηγίες που περιγράφονται εδώ, δεν θα προβούμε σε νομική ενέργεια εναντίον σας σχετικά με την αναφορά σας.
Είναι σημαντικό για εμάς να σας αναγνωρίσουμε για αυτό που κάνατε - αν το επιθυμείτε. Θα αναφέρουμε το όνομά σας σε δημοσίευση σχετικά με την ευπάθεια μόνο αν συμφωνήσετε.
Ως ευχαριστία που μας βοηθήσατε να προστατεύσουμε καλύτερα τα συστήματά μας, θα θέλαμε να ανταμείψουμε κάθε αναφορά ευπάθειας που ήταν άγνωστη σε εμάς εκείνη τη στιγμή. Η ανταμοιβή θα εξαρτηθεί από τη σοβαρότητα της ευπάθειας και την ποιότητα της αναφοράς.

Αν βρείτε ευπάθεια σε λογισμικό τρίτου που χρησιμοποιούμε και αυτή η ευπάθεια καλύπτεται από πρόγραμμα bug bounty, δεν θα προσπαθήσουμε να διεκδικήσουμε αυτή την ανταμοιβή· θα πρέπει να το κάνετε εσείς.