Coordinated vulnerability disclosure
← Politikak

CERT: Ahultasunak jakinarazteko politika

CERT/CC-ri jakinarazitako ahultasunak publikoari jakinaraziko zaizkio hasierako txostenetik 45 egunera, eragindako saltzaileen adabakirik edo konponbide alternatiborik dagoen edo eskuragarri dagoen alde batera utzita. Zirkunstantzia arinagarriek, hala nola esplotazio aktiboak, izaera bereziki larriko (edo hutsaleko) mehatxuek edo ezarritako estandar bat aldatzea eskatzen duten egoerek, lehenago edo geroago jakinaraztea eragin dezakete. CERT/CC-k egindako jakinarazpenek jakinarazlearen aitortza barne hartuko dute, jakinarazleak bestelakorik eskatzen ez badu. Eragindako saltzaileei gure argitalpen-planen berri emango diegu, eta argitalpen-egutegi alternatiboak negoziatuko ditugu eragindako saltzaileekin behar denean.

Politika honen helburua publikoak segurtasun-ahultasunei buruz informatuta egoteko duen beharra eta saltzaileek modu eraginkorrean erantzuteko denbora behar izatea orekatzea da. Argitalpen-egutegiaren azken erabakia komunitate osoaren interes onenean oinarrituko da.

Guri jakinarazitako ahultasunak eragindako saltzaileei birbidaliko zaizkie txostena jaso eta ahalik eta azkarren. Jakinarazlearen izena eta harremanetarako informazioa eragindako saltzaileei birbidaliko zaizkie, jakinarazleak bestelakorik eskatzen ez badu. Jakinarazleari, ahal den neurrian, berak jakinarazitako edozein ahultasunen egoeran gertatzen diren aldaketa esanguratsuen berri emango diogu, konfiantzaz eman zaigun informazioa agerian utzi gabe.

Ahultasunak Vulnerability Notes-etan jakinaraziko dira.

AEBetako Gobernuaren webguneen ahultasun-txostenak US-CERT-i birbidaliko zaizkio gobernuarekin koordinatzeko.

Maiz egindako galderak

G: CERT/CC "jakinarazpen osoa" (full disclosure) egitera pasatzen ari dela esan nahi al du honek?

E: Ez ditugu exploit-ak banatuko, "jakinarazpen osoa" horixe esan nahi badu. Gure esperientzian, exploit-en eskuragarritasunetik onura atera dezaketen pertsonen kopurua txikia da, exploit-ak maliziaz erabiltzen dituztenek kaltetutako pertsonen kopuruarekin alderatuta. Hala ere, lehenago jakinarazi ez ditugun ahultasunei buruzko informazioa jakinaraziko dugu. Gure baliabideen mugen barruan, ahal ditugun ahultasun gehienen inguruko informazioa argitaratuko dugu.

G: Zergatik ez 30 egun, edo 15 egun, edo berehala?

E: Uste dugu 45 egun epe nahiko gogorra izan daitekeela erakunde handi batentzat. Laburragoa egiteak ez du errealitatean arazoari lagunduko. Esplotazioaren frogarik ez dagoenean, ahultasunak behar gabe iragartzea ez da agian segurtasun publikoaren interes onenean.

G: Hobe ez al litzateke ahultasunak isilik mantentzea konponbiderik ez badago?

E: Ahultasunak ohiko moduan aurkitzen eta jakinarazten dira, askotan saltzaileek konponbidea emateko aukera bidezkorik izan baino lehen, eta jakinarazpenak maiz funtzionatzen duten exploit-ak barne hartzen ditu. Gure esperientzian, ahultasun-informazioaren jakinarazpen arduratsu eta kualifikaturik ez badago, ahultasunak aurkitzen dituzten ikertzaileek, programatzaileek, sistema-administratzaileek eta beste IT profesional batzuek askotan sentitzen dute ez dutela aukerarik informazioa publiko egitea baino, saltzaileak arazoari aurre egitera behartzeko saiakeran.

G: Ahultasun guztiak 45 egunen barruan jakinaraziko al dira?

E: Ez. Askotan egon daitezke gure argitalpen-egutegia egokitzea eragingo duten zirkunstantziak. Bereziki larriak diren mehatxuek edo esplotazioaren frogak ditugunek, ziurrenik, gure argitalpen-egutegia laburtzea eragingo dute. Aldaketa "gogorrak" (estandarren aldaketak, sistema eragilearen oinarrizko osagaien aldaketak) behar dituzten mehatxuek gure argitalpen-egutegia luzatzea eragingo dute. Baliteke guri jakinarazitako ahultasun guztiak ez argitaratzea.

G: Saltzaileak harrituko al dituzue ahultasunen iragarpenekin?

E: Ez. Jakinarazpen publikoa baino lehen, fede oneko ahalegina egingo dugu saltzaileei gure asmoen berri emateko.

G: Saltzaile batek zuen arazoaren ebaluazioarekin ados ez badago, informazio hori eskuragarri egongo al da?

E: Bai. Saltzaileen adierazpen autentikatuak eskatu eta argitaratzen ditugu, eta ahultasun-oharretan (vulnerability notes) saltzailearen informazio garrantzitsua aipatzen dugu. Ez dugu saltzaileak emandako informaziorik atxikiko arazoaren gure ebaluazioarekin bat ez datorrelako soilik.

G: Nork jasotzen du informazioa jakinarazpen publikoa baino lehen?

E: Orokorrean, informazioa konponbideari lagun diezaiokeen eta konfiantzazko harremana dugun edonori ematen diogu, besteak beste saltzaileei (askotan produktuak ahulak ez diren saltzaileei ere), komunitateko adituei, babesleei eta herrialdeko azpiegitura kritikoaren parte diren guneei, arriskuan daudela uste badugu.

G: Jakinarazitako ahultasun guztiak jakinarazten al dituzue?

E: Ez. Gure irizpidearen arabera, ahultasun-txosten bat koordinatzeari edo argitaratzeari uko egin diezaiokegu. Erabaki hori, oro har, ahultasunaren irismenean eta larritasunean eta koordinazio- eta jakinarazpen-prozesuari balioa gehitzeko dugun gaitasunean oinarritzen da. Koordinatu edo argitaratu egiten dugun ala ez, jakinarazleari gomendatzen diogu fede oneko ahalegina egitea eragindako saltzaileari jakinarazteko eta zuzenean harekin lan egiteko jakinarazpen publikoa baino lehen.