Coordinated vulnerability disclosure
← Πολιτικές

CERT: πολιτική γνωστοποίησης ευπαθειών

Οι ευπάθειες που αναφέρονται στο CERT/CC θα γνωστοποιούνται στο κοινό 45 ημέρες μετά την αρχική αναφορά, ανεξάρτητα από την ύπαρξη ή τη διαθεσιμότητα επιδιορθώσεων ή παρακάμψεων από τους επηρεαζόμενους προμηθευτές. Ελαφρυντικές περιστάσεις, όπως η ενεργή εκμετάλλευση, απειλές ιδιαίτερα σοβαρής (ή ασήμαντης) φύσης ή καταστάσεις που απαιτούν αλλαγές σε ένα καθιερωμένο πρότυπο, μπορεί να οδηγήσουν σε νωρίτερη ή μεταγενέστερη γνωστοποίηση. Οι γνωστοποιήσεις που γίνονται από το CERT/CC θα περιλαμβάνουν πίστωση στον αναφέροντα, εκτός αν ο αναφέρων ζητήσει διαφορετικά. Θα ενημερώνουμε τους επηρεαζόμενους προμηθευτές για τα σχέδια δημοσίευσής μας και θα διαπραγματευόμαστε εναλλακτικά χρονοδιαγράμματα δημοσίευσης με τους επηρεαζόμενους προμηθευτές όταν απαιτείται.

Στόχος αυτής της πολιτικής είναι η εξισορρόπηση της ανάγκης του κοινού να ενημερώνεται για τις ευπάθειες ασφαλείας με την ανάγκη των προμηθευτών για χρόνο ώστε να ανταποκριθούν αποτελεσματικά. Ο τελικός καθορισμός του χρονοδιαγράμματος δημοσίευσης θα βασίζεται στο βέλτιστο συμφέρον της κοινότητας συνολικά.

Οι ευπάθειες που αναφέρονται σε εμάς θα προωθούνται στους επηρεαζόμενους προμηθευτές το συντομότερο πρακτικά δυνατό μετά τη λήψη της αναφοράς. Το όνομα και τα στοιχεία επικοινωνίας του αναφέροντος θα προωθούνται στους επηρεαζόμενους προμηθευτές, εκτός αν ο αναφέρων ζητήσει διαφορετικά. Θα ενημερώνουμε τον αναφέροντα για σημαντικές αλλαγές στην κατάσταση οποιασδήποτε ευπάθειας που ανέφερε στο μέτρο του δυνατού χωρίς να αποκαλύπτουμε πληροφορίες που μας δόθηκαν εμπιστευτικά.

Οι ευπάθειες θα γνωστοποιούνται στα Vulnerability Notes.

Οι αναφορές ευπαθειών για ιστότοπους της κυβέρνησης των ΗΠΑ θα προωθούνται στο US-CERT για συντονισμό με την κυβέρνηση.

Συχνές ερωτήσεις

Ε: Σημαίνει αυτό ότι το CERT/CC πηγαίνει σε «πλήρη γνωστοποίηση» (full disclosure);

Α: Δεν θα διανέμουμε exploits, αν αυτό σημαίνει «πλήρης γνωστοποίηση». Από την εμπειρία μας, ο αριθμός των ανθρώπων που μπορούν να ωφεληθούν από τη διαθεσιμότητα exploits είναι μικρός σε σύγκριση με τον αριθμό των ανθρώπων που βλάπτονται από όσους χρησιμοποιούν exploits κακόβουλα. Θα γνωστοποιούμε, ωστόσο, πληροφορίες για ευπάθειες που ίσως δεν είχαμε γνωστοποιήσει προηγουμένως. Εντός των ορίων των πόρων μας, θα δημοσιεύουμε πληροφορίες για όσο το δυνατόν περισσότερες ευπάθειες.

Ε: Γιατί όχι 30 ημέρες, ή 15 ημέρες, ή αμέσως;

Α: Πιστεύουμε ότι οι 45 ημέρες μπορεί να είναι μια αρκετά δύσκολη προθεσμία για έναν μεγάλο οργανισμό. Η μείωσή της δεν θα βοηθήσει ρεαλιστικά το πρόβλημα. Ελλείψει στοιχείων εκμετάλλευσης, η αδικαιολόγητη ανακοίνωση ευπαθειών μπορεί να μην είναι προς το βέλτιστο συμφέρον της δημόσιας ασφάλειας.

Ε: Δεν θα ήταν καλύτερο να κρατούνται οι ευπάθειες κρυφές αν δεν υπάρχει διαθέσιμη διόρθωση;

Α: Οι ευπάθειες ανακαλύπτονται και γνωστοποιούνται συστηματικά, συχνά πριν οι προμηθευτές έχουν δικαιολογημένη ευκαιρία να παράσχουν διόρθωση, και η γνωστοποίηση συχνά περιλαμβάνει λειτουργικά exploits. Από την εμπειρία μας, αν δεν υπάρχει υπεύθυνη, κατάλληλη γνωστοποίηση πληροφοριών ευπαθειών, οι ερευνητές, οι προγραμματιστές, οι διαχειριστές συστημάτων και άλλοι επαγγελματίες πληροφορικής που ανακαλύπτουν ευπάθειες συχνά αισθάνονται ότι δεν έχουν άλλη επιλογή από το να δημοσιοποιήσουν τις πληροφορίες σε μια προσπάθεια να πιέσουν τους προμηθευτές να αντιμετωπίσουν το πρόβλημα.

Ε: Θα γνωστοποιηθούν όλες οι ευπάθειες εντός 45 ημερών;

Α: Όχι. Συχνά μπορεί να υπάρχουν περιστάσεις που θα μας κάνουν να προσαρμόσουμε το χρονοδιάγραμμα δημοσίευσής μας. Απειλές που είναι ιδιαίτερα σοβαρές ή για τις οποίες έχουμε στοιχεία εκμετάλλευσης πιθανότατα θα μας οδηγήσουν σε συντόμευση του χρονοδιαγράμματος έκδοσης. Απειλές που απαιτούν «δύσκολες» αλλαγές (αλλαγές σε πρότυπα, αλλαγές σε βασικά στοιχεία του λειτουργικού συστήματος) θα μας οδηγήσουν σε παράταση του χρονοδιαγράμματος δημοσίευσης. Μπορεί να μη δημοσιεύουμε κάθε ευπάθεια που μας αναφέρεται.

Ε: Θα εκπλήξετε τους προμηθευτές με ανακοινώσεις ευπαθειών;

Α: Όχι. Πριν από τη δημόσια γνωστοποίηση, θα καταβάλουμε προσπάθεια καλής πίστης για να ενημερώσουμε τους προμηθευτές για τις προθέσεις μας.

Ε: Αν ένας προμηθευτής διαφωνεί με την αξιολόγησή σας για ένα πρόβλημα, θα είναι διαθέσιμη αυτή η πληροφορία;

Α: Ναι. Ζητάμε και αναρτούμε επαληθευμένες δηλώσεις προμηθευτών και παραπέμπουμε σε σχετικές πληροφορίες προμηθευτών στα vulnerability notes. Δεν θα αποκρύψουμε πληροφορίες που παρέχονται από προμηθευτή απλώς επειδή διαφωνούν με την αξιολόγησή μας για το πρόβλημα.

Ε: Ποιος λαμβάνει τις πληροφορίες πριν από τη δημόσια γνωστοποίηση;

Α: Γενικά, παρέχουμε τις πληροφορίες σε οποιονδήποτε μπορεί να συμβάλει στη λύση και με τον οποίο έχουμε σχέση εμπιστοσύνης, συμπεριλαμβανομένων των προμηθευτών (συχνά και προμηθευτών των οποίων τα προϊόντα δεν είναι ευάλωτα), εμπειρογνωμόνων της κοινότητας, χορηγών και ιστότοπων που αποτελούν μέρος εθνικής κρίσιμης υποδομής, αν πιστεύουμε ότι αυτοί οι ιστότοποι κινδυνεύουν.

Ε: Γνωστοποιείτε κάθε αναφερόμενη ευπάθεια;

Α: Όχι. Μπορούμε, κατά την κρίση μας, να αρνηθούμε να συντονίσουμε ή να δημοσιεύσουμε μια αναφορά ευπάθειας. Αυτή η απόφαση βασίζεται γενικά στο εύρος και τη σοβαρότητα της ευπάθειας και στην ικανότητά μας να προσθέσουμε αξία στη διαδικασία συντονισμού και γνωστοποίησης. Είτε συντονίζουμε ή δημοσιεύουμε είτε όχι, συνιστούμε ο αναφέρων να καταβάλει προσπάθεια καλής πίστης για να ενημερώσει και να συνεργαστεί απευθείας με τον επηρεαζόμενο προμηθευτή πριν από τη δημόσια γνωστοποίηση.