Coordinated vulnerability disclosure

Ahultasunen jakinarazpen koordinatua (CVD)

Segurtasun-ahuleziak nola jakinarazi, jaso eta koordinatu, politika-adibideekin.

Ahultasunen jakinarazpen koordinatua (CVD) segurtasun informatikoko kontzeptua da. Segurtasun-arazoei buruzko txostenak jendeak nola parteka ditzakeen azaltzen du. Adibideak: akats-txostenak, sartzeko arriskuak, hackeatze-abisuak, datu-filtrazioak, webgune-urraketak, etab.

Itzulpenak: العربية, Български, বাংলা, Čeština, Cymraeg, Dansk, Deutsch, Ελληνικά, English, Español, Eesti, Euskara, فارسی, Suomi, Français, Gaeilge, Gàidhlig, ગુજરાતી, Hausa, עברית, हिन्दी, Hrvatski, Magyar, Bahasa Indonesia, Íslenska, Italiano, 日本語, 한국어, Lietuvių, Latviešu, Nederlands, Polski, Português, Română, Русский, Slovenčina, Slovenščina, Svenska, Kiswahili, ไทย, Türkçe, Українська, اردو, Tiếng Việt, 中文

Aurkibidea:

Politikak:

Sarrera

Dokumentu honek ahultasunen jakinarazpen koordinatua azaltzen du, jendeak elkarrekin lan egiten laguntzeko moduan.

Dokumentuaren helburuak:

  1. Segurtasun-arazoak aurkitu eta horien berri eman nahi duten pertsonei laguntzea.

  2. Enpresen ordezkariei jakinarazpen arduratsuaren beharrak, helburuak, praktikak eta kasu bereziak ulertzen laguntzea.

  3. Ahultasunen jakinarazpen koordinatuaren politika-adibideak biltegiaren karpetan sartzea.

Ongi etorriak dira pull request-ak, GitHub-eko issue-ak edo security@joelparkerhenderson.com helbidera bidalitako mezu elektronikoak.

Zer da ahultasunen jakinarazpen koordinatua?

Ahultasunen jakinarazpen koordinatuak hiru urrats deskribatzen ditu norbaitek segurtasun-arazo bat (software-akats bat, adibidez) aurkitzen duenean eta ekoizleari (softwarea egiten duen enpresari, adibidez) horren berri eman nahi dionean.

Urratsak:

  1. Aurkitzaileak arazoaren berri ematen dio ekoizleari, modu pribatuan eta fede onez.

  2. Ekoizleak erabiltzaileak babesten saiatzen da fede onez, eta arazoari aurre egiten saiatzen da.

  3. Denbora jakin bat igaro ondoren, segurtasun-arazoa publiko egiten da.

1. urratsa: Eman arazoaren berri

  1. urratsa aurkitzailearentzat da: eman arazoaren berri modu pribatuan eta fede onez.

  • Ondo: Aurkitzaileak ekoizleari bidaltzen dio dagokion informazioa, adibidez ekoizlearen segurtasun-posta elektronikora (normalean "security@example.com") edo ekoizlearen webguneko web-orriko inprimaki baten bidez (normalean "https://www.example.com/security").

  • Gaizki: txostena blog publiko batean argitaratzea, edo hedabideei abisatzea, edo mehatxuak egitea, edo segurtasun-arazoa hackerrei saltzen saiatzea, etab.

  • Aholkua: aurkitzaileak anonimo izatea aukera dezake; ekoizleak ere anonimo izatea aukera dezake.

Nahi baduzu, jarraitu arazoaz jabetuta.

  • Ondo: komunikazio-bideak irekitzea, edo jarraipen-informazioa ematea, edo egoera zaintzea.

  • Gaizki: arazoa ahaztea,

  • Aholkua: aurkitzaileak lagundu edo ez lagundu aukera dezake, eta komunikazioan egon edo ez egon ere aukera dezake, eta baldintzak aldatzen badira antolaketa aldatzea ere aukera dezake.

Nahi baduzu, jakinarazi arazoa besteei.

  • Ondo: zehaztutako denbora itxarotea eta gero publikoki jakinaraztea, adibidez dagokion informazioa segurtasun-albisteen webgune batean argitaratuz, edo hirugarren segurtasun-ikertzaile garrantzitsuekin harremanetan jarriz, edo arazoa gizarte-webgune publiko batean iragarriz, etab.

  • Gaizki: arazoa besteei ez jakinaraztea, zuretzat edo besteentzat arrisku handiagoa, edo konparagarria den arriskua, ekarriko lukeela uste ez baduzu behintzat.

  • Aholkua: baldintzak aldatzen badira, adibidez arrisku handiagoa edo esplotazio aktiboa aurkitzen bada, aurkitzaileak arazoa lehenago jakinaraz diezaieke besteei.

2. urratsa: Ziurtatu harremanak.

  1. urratsa ekoizlearentzat da: ziurtatu harremanak bideragarriak direla.

  • Ondo: Ekoizleak segurtasun-harremanetarako posta elektronikoko helbide bat argitaratzen du (konbentzioz "security@example.com") eta, hobe, mezu elektronikoak zifratzeko gako seguru bat.

  • Ondo: Ekoizleak segurtasun-harremanetarako web-orri bat argitaratzen du (konbentzioz "https://www.example.com/security") eta, hobe, orria errazago aurkitzeko moduan jartzen du, adibidez webgunearen oinean, webgune-mapan eta bilaketan.

  • Gaizki: Ekoizleak ez du posta elektronikoko helbiderik edo web-orririk eskaintzen, edo ez ditu erraz aurkitzeko moduan jartzen.

Ziurtatu langileen gaitasunak.

  • Ondo: Ekoizleak laguntza-langileak trebatzen ditu segurtasun-kontsulta bat jasotzen badute zer egin jakiteko, adibidez harremanetarako informazioarekin nola erantzun edo kontsulta barneko talde egokira nola birbidali.

  • Ondo: Ekoizleak aldizka egiaztatzen du langileen gaitasunak ondo funtzionatzen dutela.

  • Gaizki: Ekoizleak ez du trebatzen edo ez du egiaztatzen.

Erantzun aurkitzaileari epearen barruan.

  • Aurkitzaileak epe bat zehazten ez badu, erabili lan-egun bat, sektoreko estandarra eta sektoreko egungo praktika onena baita.

  • Aurkitzaileak galderak egiten baditu, erantzun. Hau bereziki garrantzitsua da aurkitzaileak probak egiteko baimena eskatzen badu. Ziurtatu erantzun guztiak argiak eta zuzenak direla.

Erantzun aurkitzaileari baimendutako segurtasun-harreman baten eta/edo baimendutako segurtasun-prozesu baten bidez.

  • Ondo: segurtasunerako berariazko posta elektroniko batetik erantzutea, adibidez "security@example.com".

  • Adibidez, hauek gaizki daude: helburu orokorreko posta elektroniko batetik erantzutea, adibidez "help@example.com", edo segurtasun-profesional baimendua ez den inorengandik.

Erantzun aurkitzaileari arazoa segurtasun-txosten gisa ezagutzen dela.

  • Ondo: segurtasunerako berariazko hitzak, adibidez "Gure segurtasun-taldeak zure jakinarazpen arduratsuaren txostena jaso du", edo "Gure segurtasun-prozesuak hurrengo urrats hauek ditu", edo "Zure informazioa gure segurtasun-jarraipen sisteman dago orain, XYZ identifikazio-zenbakiarekin", etab.

  • Gaizki: helburu orokorreko hitzak, adibidez "Eskertzen dugu zure negozioa", edo "Segurtasuna serioski hartzen dugu", edo erantzukizuna beste norbaiti pasatzen dioten hitzak, adibidez "Zure mezua beste sail batera bidali dugu", etab.

3. urratsa: Jardun fede onez

  1. urratsa aurkitzailearentzat eta ekoizlearentzat da, biak batera: jardun fede onez.

Ulertu ahultasunen jakinarazpen koordinatuak fede oneko prozesu bat deskribatzen duela.

    1. helburua: fede ona, erabiltzaileei segurtasun-arriskuetatik babesten laguntzeko.
    1. helburua: fede ona, segurtasun-arazoari aurre egiteko.

  • Aurkitzaileak eta/edo ekoizleak fede onez beste segurtasun-pertsona batzuk inplikatzea aukera dezakete, adibidez beste segurtasun-ikertzaile garrantzitsu batzuekin harremanetan jarriz arazoan laguntzeko.

Ulertu ahultasunen jakinarazpen koordinatuak ez duela inolako betebeharrik sortzen.

  • Aurkitzaileak eta/edo ekoizleak edonoiz utzi dezakete, edozein arrazoirengatik, abisuarekin edo gabe. Adeitsua da dagokion jende guztia informatuta eta egunean edukitzea, baina hori ez da beti posible, praktikoa edo komenigarria.

  • Ahultasunen jakinarazpen koordinatuak ez du inolako lege-akordiorik sortzen. Aurkitzaileak eta ekoizleak dagoeneko lege-akordio bat badute, gomendatzen dugu inplikatutako guztiek abokatu egokiei kontsulta egitea; ez erabili dokumentu hau aholku juridiko gisa.

Ulertu ahultasunen jakinarazpen koordinatuak komunikazio ona erabiltzea eta mehatxuak baztertzea duela helburu.

  • Ahultasunen jakinarazpen koordinatua onena da inplikatutako guztiek ulertzen dutenean 1. helburua erabiltzaileei segurtasun-arriskuetatik babesten laguntzea dela, eta 2. helburua segurtasun-arazoari aurre egitea.

  • Ahultasunen jakinarazpen koordinatuak baztertu egiten du mendeku-mehatxu, beldurtze, bertan behera uzte, indargabetze, estortsio, jarraipen-zama edo biktima errudun jartze mota oro.

Ulertu ahultasunen jakinarazpen koordinatuak gauza desberdinak esan nahi ditzakeela pertsona desberdinentzat.

  • Aurkitzaileak eta ekoizleak ahultasunen jakinarazpen koordinatuaren ulermen desberdina izan dezakete. Ulermen horiek ez datoz zertan bat etorri. Fede onak barne hartzen du inplikatutako guztiek hori ulertzea.

  • Ekoizle batzuek ahultasunen jakinarazpen koordinatuaren politikak argitaratzen dituzte. Horiek gida lagungarriak izan daitezke. Aurkitzaile batek ahultasunen jakinarazpen koordinatu mota desberdin bat erabiltzea aukeratzen badu, edo jakinarazpen arduratsuaren ulermen desberdina badu, ez dago inolako arazorik.

Ulertu normalean aurkitzailea argitaratzaileari mesede bat egiten ari dela.

  • Normalean aurkitzaileak ez du inoren baimenik behar ahultasunak argitaratzeko.

  • Normalean aurkitzailearen informazioak argitaratzaileari laguntzen dio.

Egiaztatu arrakasta

Arazoa konpondu ondoren, ekoizleak arrakasta egiaztatu behar du.

  • Jende eta prozesu guztiek jakinarazpena ondo kudeatu zuten? Hala bada, ongi. Hala ez bada, kontuan hartu ekintza ondorengo ikerketa egitea, adibidez erro-kausaren analisia (RCA), post-mortem txostenak, Ishikawa diagramak, edo sistemen teorian oinarritutako analisi kausala (CAST).

  • Konpondu gabeko arazoak sailkatuta eta jarraipenarekin daude?

  • Ekoizleak eta aurkitzaileak biek ulertzen dute hurrengo urratsetarako zer egin? Hau bereziki garrantzitsua da ondo egitea, ahultasunen jakinarazpen koordinatu berriak egon daitezkeen kasuan.

Gidaritza

Ahultasunen jakinarazpen koordinatuaren gidaritza hainbat esparrutatik etor daiteke, hala nola etika-adituengandik, lege-defendatzaileengandik, publiko orokorraren itxaropen arrazoizkoengandik, etab.

Gidaritza bilatzen ari bazara, behean azaltzen diren hiru esparru hauek interesatuko zaizkizu agian.

  • Samaritar Ona

  • Salbatzeko eginbeharra

  • Zaintza-eginbeharra

Samaritar Ona

Wikipedia: Good Samaritan law

Samaritar Onaren legeek lege-babesa ematen diete zauritutako, gaixo, arriskuan edo bestela ezgaitutako pertsonei (edo ezgaituta daudela uste dutenei) laguntza arrazoizkoa ematen dieten pertsonei. Babesaren helburua ikusleek laguntzeko duten zalantza murriztea da, auzitan ibiltzeko edo salatuak izateko beldurragatik.

Salbatzeko eginbeharra

Wikipedia: Duty to rescue

Salbatzeko eginbeharra kontzeptu bat da, alderdi bat erantzule izan daitekeen egoera deskribatzen duena, arriskuan dagoen beste alderdi bat salbatzera joan ez delako. Salbatzeko eginbeharrak arlo moralak eta/edo arlo juridikoak izan ditzake.

Zaintza-eginbeharra

Wikipedia: Duty of care

Zaintza-eginbeharra besteei kalte egin diezaiekeen edozein egintza burutzean zaintza arrazoizkoaren estandar bati lotuta egotea da. Zaintza-eginbeharrak arlo moralak eta/edo arlo juridikoak izan ditzake. Kontuan hartzeko alderdi batzuk hauek dira: kaltearen edo lesioaren aurreikusgarritasuna, kalte edo lesio potentzialaren magnitude posiblea, demandatuak burutzen duen jardueraren garrantzia edo gizarte-balioa, jokabideak demandatuarentzat duen erabilgarritasuna, jokabide alternatiboaren bideragarritasuna, jokabide alternatiboari lotutako kostuak eta zamak, jokabide alternatiboaren erabilgarritasun erlatiboa eta jokabide alternatiboaren segurtasun erlatiboa.

Kasu bereziak

Gure segurtasun-taldeek kasu berezi ugari ikusi dituzte.

Hemen azaltzen ditugu, jendeak ulertzeko zer dagoen ongi edo gaizki egon daitekeenari buruzko iritzi ugari. Gomendatzen dugu inplikatutako guztiek horien inguruan fede onez komunikatzea.

Beste erabiltzaileen informaziorako sarbidea

Adibidea: URL batek zure erabiltzaile-id-a duela eta akats bat agerian uzten duela aurkitzen duzu, eta uste duzu URLa edita dezakezula zure erabiltzaile-id-a beste erabiltzaile baten id-aren ordez jartzeko.

  • Ondo dago aurkitzaileak hau egitea, adibidez beste erabiltzaileei ere eragiten dien aurkitzeko helburu bakarrarekin?

  • Garrantzitsuagoa da erabiltzaile guztien arriskuaren zabalera azkar ulertzea, informazioa hackerrentzat ikusgai egon daitekeen pare bat erabiltzaile babestea baino?

  • Ondo dago aurkitzaileak nahi adina erabiltzailerekin egitea?

  • Ondo dago aurkitzaileak erabiltzaileekin harremanetan jartzen saiatzea eragindakoak direla jakinarazteko? Ondo dago arintzeko iradokizunak eskaintzea?

Zerbitzua ukatzea

Adibidea: akats bat aurkitzen duzu, zure kontua nahi gabe eteten duena, adibidez pasahitz-blokeo bat abiaraziz.

  • Zerbitzua ukatzeko eraso gisa hartzen da hau?

Eskatu gabeko posta elektronikoa

Adibidea: segurtasun-arazo bat jakinarazten saiatzen zara enpresako garrantzitsuak direla uste duzun pertsonei, LinkedIn-en, Facebook-en etab. ikertuz aurkitzen dituzunei, edo "webmaster@example.com" edo "security@example.com" bezalako izendapen-konbentzioak erabiliz.

  • Ondo dago hau?

  • Eskatu gabeko posta elektronikotzat hartzen da hau?

  • Baimenik gabeko posta elektronikotzat hartzen da hau?

Baztertutako taldeak

Adibidea: baztertutako talde batean zaude, adibidez adingabea zara, edo zigor-zerrenda batean zaude, edo zigor-zerrenda batean dagoen herrialde batean zaude.

  • Ondo dago txostena egitea?

  • Ondo dago anonimo jakinaraztea?

  • Ondo dago nahita aldatzea potentzialki identifikatzailea den informazioa, adibidez baztertutako taldetik ihes egiteko, eta jakinarazpena pertsona egokiengana iristen laguntzeko helburuarekin?

Hirugarrenak

Adibidea: enpresa baten softwareak hirugarren bat dakarren akats bat duela aurkitzen duzu, adibidez beste software baten edo beste webgune baten integrazioa.

  • Ondo dago aurkitzen duzun informazio guztia bi aldeei jakinaraztea?

  • Beharrezkoa da bi jakinarazpen arduratsu desberdin egitea, adibidez txosten bat enpresa bati eta beste txosten bat hirugarren enpresari, enpresa bakoitzari bidalitako informazioa mugatzeko helburuarekin?

  • Ondo dago aurkitzaileak enpresak elkarren harremanetan jartzea?

Software eragozlea

Adibidea: nahikoa trebea zara birus bat idazteko, eta uste duzu erabiltzaileei segurtasun-arriskuetatik babesten laguntzeko, arriskuan dauden identifikatzeko edo segurtasun-arriskua konpontzeko lagungarria izango dela.

  • Ondo dago?

  • Ondo dago aurkitzaileak erabiltzaileei horrelako softwarera, eta/edo mota horretako softwarea nola sortu azaltzen duten gidetara edo tutorialetara, bideratzea?

Ahultasunen jakinarazpen koordinatua vs. jakinarazpen arduratsua

Ahultasunen jakinarazpen koordinatua da termino hobetsia.

  • Alderdirik garrantzitsuena aurkitzailearen eta ekoizlearen arteko koordinazioa da.

Jakinarazpen arduratsua termino zaharkitua da.

  • Jendeak ikuspegi desberdinak ditu arduratsua izatea zer den. Adibidez, batzuek defendatzen dute arduratsua dela aurkitzaileak publikoari berehala jakinaraztea, ekoizlearekin inolako elkarrekintzarik gorabehera, eta arduragabea dela ahultasunen jakinarazpen koordinatua egitea, informazioa publikoari ezkutatzen diolako.

Jarraipena