Coordinated vulnerability disclosureCERT: سیاست افشای آسیب‌پذیری
- تماس: ؟
- وب‌سایت: http://www.cert.org/vulnerability-analysis/vul-disclosure.cfm
- راستی‌آزمایی: 2017-09-21
آسیب‌پذیری‌هایی که به CERT/CC گزارش می‌شوند ۴۵ روز پس از گزارش اولیه، صرف‌نظر از وجود یا در دسترس‌بودن وصله یا راه‌حل موقت از سوی فروشندگان آسیب‌دیده، برای عموم افشا خواهند شد. شرایط تخفیف‌دهنده، مانند بهره‌برداری فعال، تهدیدهایی با ماهیت به‌ویژه جدی (یا پیش‌پاافتاده) یا موقعیت‌هایی که تغییر در یک استاندارد جاافتاده را ایجاب می‌کنند، ممکن است به افشای زودتر یا دیرتر بینجامند. افشاهای انجام‌شده توسط CERT/CC شامل ذکر نام گزارش‌دهنده خواهد بود مگر اینکه گزارش‌دهنده خلاف آن را بخواهد. فروشندگان آسیب‌دیده را از برنامه‌های انتشار خود مطلع خواهیم کرد و در صورت لزوم با آن‌ها برای جدول‌های زمانی انتشار جایگزین مذاکره می‌کنیم.
هدف این سیاست ایجاد توازن میان نیاز عموم به آگاهی از آسیب‌پذیری‌های امنیتی و نیاز فروشندگان به زمان برای پاسخ مؤثر است. تعیین نهایی جدول زمانی انتشار بر پایه بهترین منافع جامعه در کل خواهد بود.
آسیب‌پذیری‌های گزارش‌شده به ما به‌محض اینکه پس از دریافت گزارش عملاً ممکن باشد به فروشندگان آسیب‌دیده ارسال خواهند شد. نام و اطلاعات تماس گزارش‌دهنده به فروشندگان آسیب‌دیده ارسال خواهد شد مگر اینکه گزارش‌دهنده خلاف آن را بخواهد. گزارش‌دهنده را از تغییرات مهم در وضعیت هر آسیب‌پذیری‌ای که گزارش کرده تا حد امکان و بدون افشای اطلاعاتی که به‌صورت محرمانه به ما داده شده مطلع خواهیم کرد.
آسیب‌پذیری‌ها در Vulnerability Notes افشا خواهند شد.
گزارش‌های آسیب‌پذیری برای وب‌سایت‌های دولت ایالات متحده برای هماهنگی با دولت به US-CERT ارسال خواهند شد.
پرسش‌های متداول
پرسش: آیا این یعنی CERT/CC به «افشای کامل» (full disclosure) روی می‌آورد؟
پاسخ: اگر «افشای کامل» به این معناست، ما اکسپلویت (exploit) پخش نخواهیم کرد. بر پایه تجربه ما، شمار کسانی که می‌توانند از در دسترس‌بودن اکسپلویت سود ببرند در مقایسه با شمار کسانی که از افرادی که اکسپلویت را مخرب به کار می‌برند آسیب می‌بینند اندک است. با این حال اطلاعاتی درباره آسیب‌پذیری‌هایی که شاید پیش‌تر افشا نکرده بودیم افشا خواهیم کرد. در حدود منابع خود، اطلاعات درباره هرچه بیشتر آسیب‌پذیری را منتشر خواهیم کرد.
پرسش: چرا ۳۰ روز یا ۱۵ روز یا فوراً نه؟
پاسخ: فکر می‌کنیم ۴۵ روز می‌تواند ضرب‌الاجلی نسبتاً دشوار برای یک سازمان بزرگ باشد. کوتاه‌ترکردن آن در عمل به مسئله کمک نمی‌کند. در نبود شواهد بهره‌برداری، اعلام بی‌دلیل آسیب‌پذیری‌ها ممکن است به‌نفع بهترین منافع ایمنی عمومی نباشد.
پرسش: آیا بهتر نیست اگر اصلاحی در دسترس نیست آسیب‌پذیری‌ها را پنهان نگه داریم؟
پاسخ: آسیب‌پذیری‌ها به‌طور معمول کشف و افشا می‌شوند، اغلب پیش از آنکه فروشندگان فرصت منصفانه‌ای برای ارائه اصلاح داشته باشند، و افشا اغلب شامل اکسپلویت‌های کارآمد است. بر پایه تجربه ما، اگر افشای مسئولانه و شایسته اطلاعات آسیب‌پذیری وجود نداشته باشد، پژوهشگران، برنامه‌نویسان، مدیران سامانه و سایر متخصصان فناوری اطلاعات که آسیب‌پذیری‌ها را کشف می‌کنند اغلب احساس می‌کنند چاره‌ای ندارند جز اینکه اطلاعات را عمومی کنند تا فروشندگان را وادار به رسیدگی به مسئله کنند.
پرسش: آیا همه آسیب‌پذیری‌ها ظرف ۴۵ روز افشا خواهند شد؟
پاسخ: خیر. اغلب ممکن است شرایطی وجود داشته باشد که باعث شود جدول زمانی انتشار خود را تعدیل کنیم. تهدیدهایی که به‌ویژه جدی هستند یا شواهدی از بهره‌برداری از آن‌ها داریم احتمالاً جدول زمانی انتشار ما را کوتاه می‌کنند. تهدیدهایی که تغییرات «سخت» (تغییر در استانداردها، تغییر در اجزای هسته سیستم‌عامل) لازم دارند جدول زمانی انتشار ما را طولانی‌تر می‌کنند. ممکن است هر آسیب‌پذیری‌ای را که به ما گزارش می‌شود منتشر نکنیم.
پرسش: آیا فروشندگان را با اعلام آسیب‌پذیری‌ها غافلگیر می‌کنید؟
پاسخ: خیر. پیش از افشای عمومی، با حسن نیت تلاش می‌کنیم فروشندگان را از نیات خود مطلع کنیم.
پرسش: اگر فروشنده‌ای با ارزیابی شما از یک مسئله موافق نباشد، آیا آن اطلاعات در دسترس خواهد بود؟
پاسخ: بله. بیانیه‌های تأییدشده فروشندگان را درخواست و منتشر می‌کنیم و در vulnerability notes به اطلاعات مرتبط فروشنده ارجاع می‌دهیم. اطلاعات ارائه‌شده توسط فروشنده را صرفاً به این دلیل که با ارزیابی ما از مسئله مغایرت دارد پنهان نخواهیم کرد.
پرسش: چه کسی پیش از افشای عمومی اطلاعات را دریافت می‌کند؟
پاسخ: به‌طور کلی، اطلاعات را به هر کسی که می‌تواند به راه‌حل کمک کند و با او رابطه اعتماد داریم می‌دهیم، از جمله فروشندگان (اغلب شامل فروشندگانی که محصولاتشان آسیب‌پذیر نیست)، کارشناسان جامعه، حامیان و سایت‌هایی که بخشی از زیرساخت حیاتی ملی هستند، اگر باور داشته باشیم آن سایت‌ها در معرض خطرند.
پرسش: آیا هر آسیب‌پذیری گزارش‌شده را افشا می‌کنید؟
پاسخ: خیر. ممکن است به اختیار خود از هماهنگی یا انتشار گزارش آسیب‌پذیری خودداری کنیم. این تصمیم عموماً بر پایه دامنه و شدت آسیب‌پذیری و توانایی ما در افزودن ارزش به فرایند هماهنگی و افشا است. چه هماهنگ یا منتشر کنیم و چه نکنیم، توصیه می‌کنیم گزارش‌دهنده با حسن نیت تلاش کند پیش از افشای عمومی به فروشنده آسیب‌دیده اطلاع دهد و مستقیماً با او کار کند.