Coordinated vulnerability disclosure
← Poliitikad

CERT: haavatavuste avalikustamise poliitika

CERT/CC-le teatatud haavatavused avalikustatakse 45 päeva pärast esmast aruannet, olenemata sellest, kas mõjutatud tootjatel on paigad või lahendused olemas või saadaval. Erandlikud asjaolud, näiteks aktiivne ärakasutamine, eriti tõsist (või tühist) laadi ohud või olukorrad, mis nõuavad kehtestatud standardi muutmist, võivad kaasa tuua varasema või hilisema avalikustamise. CERT/CC avalikustamistes tunnustatakse aruande esitajat, kui ta pole teisiti soovinud. Teavitame mõjutatud tootjaid oma avaldamiskavadest ja vajaduse korral lepime mõjutatud tootjatega kokku teistsuguse avaldamisgraafiku.

Selle poliitika eesmärk on tasakaalustada avalikkuse vajadust olla turvaaukudest teavitatud tootjate vajadusega aja järele tõhusaks reageerimiseks. Avaldamisgraafiku lõplik otsus põhineb kogukonna kui terviku parimatel huvidel.

Meile teatatud haavatavused edastatakse mõjutatud tootjatele niipea, kui see on pärast aruande saamist praktiline. Aruande esitaja nimi ja kontaktandmed edastatakse mõjutatud tootjatele, kui esitaja pole teisiti soovinud. Teavitame aruande esitajat tema teatatud haavatavuse staatuse olulistest muutustest niivõrd, kui see on võimalik ilma meile konfidentsiaalselt antud teavet avaldamata.

Haavatavused avalikustatakse haavatavusmärkmetes (Vulnerability Notes).

USA valitsuse veebisaitide haavatavuste aruanded edastatakse koordineerimiseks valitsusega USA-CERT-ile.

Korduma kippuvad küsimused

K: Kas see tähendab, et CERT/CC läheb üle „täielikule avalikustamisele"?

V: Me ei levita ärakasutuskoode (exploit), kui just seda „täielik avalikustamine" tähendab. Meie kogemuse kohaselt on nende inimeste arv, kes saavad ärakasutuskoodide olemasolust kasu, väike võrreldes nende inimeste arvuga, keda kahjustavad ärakasutuskoode pahatahtlikult kasutavad inimesed. Küll aga avalikustame teavet haavatavuste kohta, mida me võib-olla varem poleks avalikustanud. Oma ressursside piires avaldame teavet nii paljude haavatavuste kohta, kui suudame.

K: Miks mitte 30 päeva või 15 päeva või kohe?

V: Arvame, et 45 päeva võib olla suurele organisatsioonile üsna keeruline tähtaeg. Selle lühemaks tegemine ei aita probleemi realistlikult. Ärakasutamise tõendite puudumisel ei pruugi haavatavuste põhjendamatu väljakuulutamine olla avaliku turvalisuse huvides.

K: Kas poleks parem hoida haavatavusi vaikselt, kui parandust pole saadaval?

V: Haavatavusi avastatakse ja avalikustatakse regulaarselt, sageli enne, kui tootjatel on olnud õiglane võimalus parandus pakkuda, ja avalikustamine sisaldab sageli töötavaid ärakasutuskoode. Meie kogemuse kohaselt, kui vastutustundlikku ja kvalifitseeritud haavatavusteabe avalikustamist ei toimu, tunnevad teadlased, programmeerijad, süsteemiadministraatorid ja teised IT-spetsialistid, kes haavatavusi avastavad, sageli, et neil pole muud valikut kui teave avalikuks teha, püüdes tootjaid probleemi lahendama sundida.

K: Kas kõik haavatavused avalikustatakse 45 päeva jooksul?

V: Ei. Sageli võib olla asjaolusid, mis panevad meid avaldamisgraafikut kohandama. Eriti tõsised ohud või ohud, mille puhul on meil ärakasutamise tõendeid, põhjustavad tõenäoliselt meie väljalaskegraafiku lühendamist. Ohud, mis nõuavad „rasket" muutmist (standardite muutmine, operatsioonisüsteemi põhikomponentide muutmine), põhjustavad meie avaldamisgraafiku pikendamist. Me ei pruugi avaldada iga meile teatatud haavatavust.

K: Kas te üllatate tootjaid haavatavuste väljakuulutamisega?

V: Ei. Enne avalikustamist teeme heas usus pingutuse, et tootjaid oma kavatsustest teavitada.

K: Kui tootja ei ole probleemi hindamisega nõus, kas see teave on saadaval?

V: Jah. Küsime ja avaldame autentitud tootjaavaldusi ning viitame haavatavusmärkmetes asjakohasele tootjateabele. Me ei hoia tootja esitatud teavet tagasi lihtsalt seetõttu, et see on meie probleemihinnanguga vastuolus.

K: Kes saab teabe enne avalikustamist?

V: Üldiselt anname teabe igaühele, kes saab lahendusele kaasa aidata ja kellega meil on usaldussuhe, sealhulgas tootjatele (sageli ka tootjatele, kelle tooted ei ole haavatavad), kogukonna ekspertidele, sponsoritele ja saitidele, mis on osa riiklikust kriitilisest taristust, kui usume, et need saidid on ohus.

K: Kas te avalikustate iga teatatud haavatavuse?

V: Ei. Võime oma äranägemisel keelduda haavatavuse aruande koordineerimisest või avaldamisest. See otsus põhineb üldiselt haavatavuse ulatusel ja tõsidusel ning meie võimel koordineerimise ja avalikustamise protsessile väärtust lisada. Olenemata sellest, kas koordineerime või avaldame, soovitame aruande esitajal teha heas usus pingutus mõjutatud tootjat enne avalikustamist teavitada ja temaga otse koostööd teha.