Coordinated vulnerability disclosure

Koordinoitu haavoittuvuuksien julkistaminen (CVD)

Miten tietoturvahaavoittuvuuksista ilmoitetaan, niitä vastaanotetaan ja koordinoidaan, esimerkkikäytäntöjen kera.

Koordinoitu haavoittuvuuksien julkistaminen (Coordinated vulnerability disclosure, CVD) on tietoturvan käsite. Se kuvaa, miten ihmiset voivat jakaa raportteja tietoturvaongelmista. Esimerkkejä ovat virheraportit, tunkeutumisriskit, hakkerointivaroitukset, tietovuodot, verkkosivustojen murrot jne.

Käännökset: العربية, Български, বাংলা, Čeština, Cymraeg, Dansk, Deutsch, Ελληνικά, English, Español, Eesti, Euskara, فارسی, Suomi, Français, Gaeilge, Gàidhlig, ગુજરાતી, Hausa, עברית, हिन्दी, Hrvatski, Magyar, Bahasa Indonesia, Íslenska, Italiano, 日本語, 한국어, Lietuvių, Latviešu, Nederlands, Polski, Português, Română, Русский, Slovenčina, Slovenščina, Svenska, Kiswahili, ไทย, Türkçe, Українська, اردو, Tiếng Việt, 中文

Sisällys:

Käytännöt:

Johdanto

Tämä asiakirja selittää koordinoidun haavoittuvuuksien julkistamisen tavoilla, jotka voivat auttaa ihmisiä tekemään yhteistyötä.

Asiakirjan tavoitteet:

  1. Auttaa ihmisiä, jotka löytävät tietoturvaongelmia ja haluavat ilmoittaa niistä.

  2. Auttaa yritysten edustajia ymmärtämään vastuullisen julkistamisen tarpeita, tavoitteita, käytäntöjä ja erityistapauksia.

  3. Sisällyttää esimerkkejä koordinoidun haavoittuvuuksien julkistamisen käytännöistä repositorion kansioon.

Otamme mielellämme vastaan pull requestit, GitHub-issuet tai sähköpostin osoitteeseen security@joelparkerhenderson.com.

Mitä on koordinoitu haavoittuvuuksien julkistaminen?

Koordinoitu haavoittuvuuksien julkistaminen kuvaa kolme vaihetta tilanteessa, jossa joku löytää tietoturvaongelman (kuten ohjelmistovirheen) ja haluaa ilmoittaa siitä tuottajalle (kuten ohjelmiston valmistavalle yritykselle).

Vaiheet:

  1. Löytäjä ilmoittaa ongelmasta tuottajalle yksityisesti ja vilpittömästi.

  2. Tuottaja pyrkii vilpittömästi suojaamaan käyttäjiä ja korjaamaan ongelman.

  3. Tietyn ajan kuluttua tietoturvaongelma julkistetaan.

Vaihe 1: Ilmoita ongelmasta

Vaihe 1 on löytäjää varten: ilmoita ongelmasta yksityisesti ja vilpittömästi.

  • Hyvä: Löytäjä lähettää olennaiset tiedot tuottajalle, esimerkiksi sähköpostilla tuottajan tietoturvasähköpostiosoitteeseen (tyypillisesti "security@example.com") tai tuottajan verkkosivuston lomakkeella (tyypillisesti "https://www.example.com/security").

  • Huono: raportin julkaiseminen julkisessa blogissa, median hälyttäminen, uhkailu, tietoturvaongelman yritys myydä hakkereille jne.

  • Vinkki: löytäjä voi halutessaan pysyä nimettömänä; myös tuottaja voi halutessaan pysyä nimettömänä.

Halutessasi seuraa ongelmaa edelleen.

  • Hyvä: yhteydenpitokanavien avaaminen, jatkotietojen antaminen tai tilanteen seuraaminen.

  • Huono: ongelman unohtaminen.

  • Vinkki: löytäjä voi valita, auttaako vai ei, ja pitääkö yhteyttä vai ei, ja voi myös muuttaa järjestelyä, jos olosuhteet muuttuvat.

Halutessasi julkista ongelma muille.

  • Hyvä: määritellyn ajan odottaminen ja sen jälkeen julkistaminen, esimerkiksi olennaisten tietojen julkaiseminen tietoturvauutissivustolla, kolmansien osapuolten tietoturvatutkijoiden kontaktoiminen tai ongelmasta ilmoittaminen missä tahansa julkisessa sosiaalisessa palvelussa jne.

  • Huono: ongelman julkistamatta jättäminen muille, ellet katso sen aiheuttavan itsellesi tai muille tavallista suurempaa riskiä.

  • Vinkki: jos olosuhteet muuttuvat, esimerkiksi havaitaan suurempi riski tai aktiivinen hyväksikäyttö luonnossa, löytäjä voi julkistaa ongelman muille aiemmin.

Vaihe 2: Varmista yhteystiedot

Vaihe 2 on tuottajaa varten: varmista, että yhteydenpitokanavat toimivat.

  • Hyvä: Tuottaja julkaisee tietoturvayhteyden sähköpostiosoitteen (tavallisesti "security@example.com") ja mieluiten turvallisen sähköpostin salausavaimen.

  • Hyvä: Tuottaja julkaisee tietoturvayhteyden verkkosivun (tavallisesti "https://www.example.com/security") ja tekee sivusta mieluiten helposti löydettävän, esimerkiksi verkkosivuston alatunnisteen, sivustokartan ja haun kautta.

  • Huono: Tuottaja ei tarjoa sähköpostiosoitetta tai verkkosivua tai ei tee niistä helposti löydettäviä.

Varmista henkilöstön valmiudet.

  • Hyvä: Tuottaja kouluttaa tukihenkilöstön toimimaan, jos he saavat tietoturvakyselyn, esimerkiksi miten vastata yhteystiedoilla tai miten välittää kysely oikealle sisäiselle tiimille.

  • Hyvä: Tuottaja varmistaa säännöllisesti, että henkilöstön valmiudet toimivat.

  • Huono: Tuottaja ei kouluta tai ei varmista.

Vastaa löytäjälle aikataulun mukaisesti.

  • Jos löytäjä ei määritä aikataulua, käytä yhtä työpäivää, koska se on alan standardi ja nykyinen alan paras käytäntö.

  • Jos löytäjä esittää kysymyksiä, vastaa niihin. Tämä on erityisen tärkeää, jos löytäjä pyytää lupaa testaamiseen. Varmista, että kaikki vastaukset ovat selkeitä ja suoria.

Vastaa löytäjälle valtuutetun tietoturvayhteyshenkilön ja/tai valtuutetun tietoturvaprosessin kautta.

  • Hyvä: vastaus tietoturvaa varten tarkoitetusta sähköpostiosoitteesta, kuten "security@example.com".

  • Esimerkiksi nämä ovat huonoja: vastaus yleiskäyttöisestä sähköpostiosoitteesta, kuten "help@example.com", tai joltakulta, joka ei ole valtuutettu tietoturva-ammattilainen.

Kerro löytäjälle, että ongelma on tunnistettu tietoturvaraportiksi.

  • Hyvä: tietoturvaan sopiva sanamuoto, kuten "Tietoturvatiimimme on vastaanottanut vastuullisen julkistamisen raporttisi", "Tietoturvaprosessillamme on nämä seuraavat vaiheet" tai "Tietosi ovat nyt tietoturvaseurannassamme tunnuksella XYZ" jne.

  • Huono: yleinen sanamuoto, kuten "Arvostamme asiakkuuttasi", "Otamme tietoturvan vakavasti", vastuun siirtämiseen viittaava sanamuoto, kuten "Välitimme sähköpostisi toiselle osastolle" jne.

Vaihe 3: Toimi vilpittömästi

Vaihe 3 on löytäjää ja tuottajaa yhdessä varten: toimikaa vilpittömästi.

Ymmärrä, että koordinoitu haavoittuvuuksien julkistaminen kuvaa vilpittömään toimintaan perustuvaa prosessia.

  • Tavoite nro 1 on vilpitön pyrkimys auttaa käyttäjiä suojautumaan tietoturvariskeiltä.

  • Tavoite nro 2 on vilpitön pyrkimys korjata tietoturvaongelma.

  • Löytäjä ja/tai tuottaja voi vilpittömästi päättää ottaa mukaan muita tietoturva-ammattilaisia, esimerkiksi ottamalla yhteyttä muihin asiaan liittyviin tietoturvatutkijoihin avun saamiseksi.

Ymmärrä, että koordinoitu haavoittuvuuksien julkistaminen ei luo mitään velvoitteita.

  • Löytäjä ja/tai tuottaja voi vetäytyä milloin tahansa, mistä tahansa syystä, varoituksella tai ilman. On kohteliasta pitää kaikki asianosaiset tietoisina ja ajan tasalla, mutta se ei aina ole mahdollista, käytännöllistä tai toivottavaa.

  • Koordinoitu haavoittuvuuksien julkistaminen ei luo oikeudellista sopimusta. Jos löytäjällä ja tuottajalla on jo oikeudellinen sopimus, suosittelemme, että kaikki osalliset kääntyvät asianmukaisten juristien puoleen; älä käytä tätä asiakirjaa oikeudellisena neuvontana.

Ymmärrä, että koordinoidun haavoittuvuuksien julkistamisen tavoitteena on hyödyntää hyvää viestintää ja torjua uhkailu.

  • Koordinoitu haavoittuvuuksien julkistaminen toimii parhaiten, kun kaikki osalliset ymmärtävät, että tavoite nro 1 on auttaa käyttäjiä suojautumaan tietoturvariskeiltä ja tavoite nro 2 on korjata tietoturvaongelma.

  • Koordinoitu haavoittuvuuksien julkistaminen torjuu kaikenlaisen kostolla, pelottelulla, jäädyttämisellä, mitätöinnillä, kiristyksellä, seurantataakalla tai uhrin syyllistämisellä uhkailun.

Ymmärrä, että koordinoitu haavoittuvuuksien julkistaminen voi tarkoittaa eri ihmisille eri asioita.

  • Löytäjällä ja tuottajalla voi olla erilainen käsitys koordinoidusta haavoittuvuuksien julkistamisesta. Nämä käsitykset eivät välttämättä vastaa toisiaan. Vilpittömyyteen kuuluu, että kaikki osalliset ymmärtävät tämän.

  • Jotkin tuottajat julkaisevat koordinoidun haavoittuvuuksien julkistamisen käytäntöjä. Ne voivat olla hyödyllistä ohjeistusta. Jos löytäjä päättää käyttää toisenlaista koordinoitua haavoittuvuuksien julkistamista tai hänellä on erilainen käsitys vastuullisesta julkistamisesta, se on täysin hyväksyttävää.

Ymmärrä, että tyypillisesti löytäjä tekee palveluksen julkaisijalle.

  • Tyypillisesti löytäjä ei tarvitse kenenkään lupaa haavoittuvuuksien julkaisemiseen.

  • Tyypillisesti löytäjän tiedot auttavat julkaisijaa.

Varmista onnistuminen

Kun ongelma on ratkaistu, tuottajan on varmistettava onnistuminen.

  • Käsittelivätkö kaikki ihmiset ja prosessit julkistamisen onnistuneesti? Jos kyllä, hyvä. Jos ei, harkitse jälkitoimien selvitystä, kuten juurisyyanalyysiä (RCA), jälkikäteisraportteja (post-mortem), Ishikawa-kaavioita tai järjestelmäteoriaan perustuvaa syy-seuraus-analyysia (CAST).

  • Onko mahdolliset avoimet ongelmat luokiteltu (triage) ja seurannassa?

  • Ymmärtävätkö sekä tuottaja että löytäjä, mitä seuraavissa vaiheissa pitää tehdä? Tämä on erityisen tärkeää saada oikein siltä varalta, että mahdollisesti seuraa uusia koordinoituja haavoittuvuuksien julkistamisia.

Ohjeistus

Koordinoidun haavoittuvuuksien julkistamisen ohjeistusta voi tulla monelta alueelta, kuten etiikan asiantuntijoilta, oikeudellisilta asianajajilta, suuren yleisön kohtuullisista odotuksista jne.

Jos etsit ohjeistusta, saatat olla kiinnostunut näistä kolmesta alueesta, jotka kuvataan alla.

  • Laupias samarialainen

  • Pelastamisvelvollisuus

  • Huolellisuusvelvoite

Laupias samarialainen

Wikipedia: Good Samaritan law

Laupiaan samarialaisen lait tarjoavat oikeudellista suojaa ihmisille, jotka antavat kohtuullista apua loukkaantuneille, sairaille, vaarassa oleville tai muuten toimintakyvyttömille, tai niille, joiden he uskovat olevan sellaisia. Suojan tarkoituksena on vähentää sivullisten epäröintiä auttaa pelosta, että heitä haastetaan oikeuteen tai syytetään.

Pelastamisvelvollisuus

Wikipedia: Duty to rescue

Pelastamisvelvollisuus on käsite, joka kuvaa tilannetta, jossa osapuoli voidaan saattaa vastuuseen siitä, että ei tullut vaarassa olevan toisen osapuolen avuksi. Pelastamisvelvollisuudella voi olla moraalisia ja/tai oikeudellisia ulottuvuuksia.

Huolellisuusvelvoite

Wikipedia: Duty of care

Huolellisuusvelvoite on velvollisuus noudattaa kohtuullisen huolellisuuden standardia suoritettaessa mitä tahansa tekoja, jotka voivat ennakoitavasti vahingoittaa muita. Huolellisuusvelvoitteella voi olla moraalisia ja/tai oikeudellisia ulottuvuuksia. Huomioon otettavia näkökohtia ovat: vahingon tai loukkaantumisen ennakoitavuus, mahdollisen vahingon tai loukkaantumisen suuruus, vastaajan harjoittaman toiminnan merkitys tai yhteiskunnallinen arvo, toiminnan hyödyllisyys vastaajalle, vaihtoehtoisen toiminnan toteutettavuus, vaihtoehtoiseen toimintaan liittyvät kustannukset ja rasitteet, vaihtoehtoisen toiminnan suhteellinen hyödyllisyys sekä vaihtoehtoisen toiminnan suhteellinen turvallisuus.

Erityistapaukset

Tietoturvatiimimme ovat nähneet laajan kirjon erityistapauksia.

Kuvaamme ne tässä auttaaksemme ihmisiä ymmärtämään, missä mielipiteet siitä, mikä voi olla sallittua ja mikä ei, vaihtelevat laajasti. Suosittelemme, että kaikki osalliset viestivät näistä vilpittömästi.

Muiden käyttäjien tietoihin pääsy

Esimerkki: huomaat, että URL-osoitteessa on käyttäjätunnuksesi, ja se paljastaa virheen, ja uskot voivasi muokata URL-osoitetta vaihtaaksesi käyttäjätunnuksesi toiseen käyttäjätunnukseen.

  • Onko löytäjän sallittua tehdä näin, esimerkiksi ainoana tavoitteena selvittää, vaikuttaako se myös muihin käyttäjiin?

  • Onko tärkeämpää ymmärtää nopeasti riskin laajuus kaikille käyttäjille kuin suojata muutamaa käyttäjää, joiden tiedot saattavat jo olla hakkereiden nähtävissä?

  • Onko löytäjän sallittua tehdä tämä niin monelle käyttäjälle kuin haluat?

  • Onko löytäjän sallittua yrittää ottaa yhteyttä käyttäjiin kertoakseen heille, että he ovat vaikutuksen alaisia? Onko sallittua tarjota lieventämisehdotuksia?

Palvelunestohyökkäys

Esimerkki: löydät virheen, joka vahingossa jäädyttää tilisi, esimerkiksi laukaisee salasanalukituksen.

  • Katsotaanko tämä palvelunestohyökkäykseksi?

Kutsumaton sähköposti

Esimerkki: yrität ilmoittaa tietoturvaongelmasta yrityksen ihmisille, joiden uskot olevan asiaan liittyviä ja jotka löydät selvittämällä LinkedInistä, Facebookista jne. tai käyttämällä nimeämiskäytäntöjä, kuten "webmaster@example.com" tai "security@example.com".

  • Onko tämä sallittua?

  • Katsotaanko tämä kutsumattomaksi sähköpostiksi?

  • Katsotaanko tämä luvattomaksi sähköpostiksi?

Poissuljetut ryhmät

Esimerkki: kuulut poissuljettuun ryhmään, kuten olet alaikäinen tai pakotelistalla tai pakotelistalla olevassa maassa.

  • Onko sinun sallittua tehdä raportti?

  • Onko sallittua ilmoittaa nimettömänä?

  • Onko sallittua tarkoituksella muuttaa mahdollisesti tunnistavia tietoja, esimerkiksi päästäkseen pois poissuljetusta ryhmästä ja tavoitteena auttaa julkistusta saavuttamaan oikeat ihmiset?

Kolmas osapuoli

Esimerkki: huomaat, että yrityksen ohjelmistossa on virhe, joka liittyy kolmanteen osapuoleen, kuten integraatioon toisen ohjelmiston tai toisen verkkosivuston kanssa.

  • Onko sinun sallittua ilmoittaa kaikki löytämäsi tiedot molemmille osapuolille?

  • Onko tarpeen tehdä kaksi erillistä vastuullista julkistamista, esimerkiksi yksi raportti yhdelle yritykselle ja toinen raportti kolmannen osapuolen yritykselle, tavoitteena rajoittaa kummallekin yritykselle lähetettäviä tietoja?

  • Onko löytäjän sallittua saattaa yritykset yhteyteen toistensa kanssa?

Häiritsevä ohjelmisto

Esimerkki: olet niin taitava, että pystyt kirjoittamaan viruksen, jonka uskot todennäköisesti auttavan käyttäjiä suojautumaan tietoturvariskiltä, selvittämään, ovatko he vaarassa, tai korjaamaan tietoturvariskin.

  • Onko tämä sallittua?

  • Onko löytäjän sallittua ohjata käyttäjiä tällaiseen ohjelmistoon ja/tai oppaisiin tai opetusohjelmiin, jotka kuvaavat, miten tällainen ohjelmisto luodaan?

Koordinoitu haavoittuvuuksien julkistaminen vs. vastuullinen julkistaminen

Koordinoitu haavoittuvuuksien julkistaminen on ensisijainen termi.

  • Tärkein näkökohta on löytäjän ja tuottajan välinen koordinointi.

Vastuullinen julkistaminen (responsible disclosure) on vanhentunut termi.

  • Ihmisillä on erilaisia näkemyksiä siitä, mitä vastuullisuus tarkoittaa. Esimerkiksi jotkut ihmiset puolustavat, että löytäjän on vastuullista ilmoittaa asiasta yleisölle välittömästi riippumatta mistään vuorovaikutuksesta tuottajan kanssa, ja vastuutonta tehdä koordinoitua haavoittuvuuksien julkistamista, koska se kätkee tietoa yleisöltä.

Seuranta