Coordinated vulnerability disclosure
← Käytännöt

CERT: haavoittuvuuksien julkistamiskäytäntö

CERT/CC:lle ilmoitetut haavoittuvuudet julkistetaan yleisölle 45 päivän kuluttua ensimmäisestä ilmoituksesta riippumatta siitä, onko vaikutuksen alaisilla toimittajilla korjauksia tai kiertoteitä olemassa tai saatavilla. Lieventävät olosuhteet, kuten aktiivinen hyväksikäyttö, erityisen vakavat (tai vähäpätöiset) uhat tai tilanteet, jotka vaativat muutoksia vakiintuneeseen standardiin, voivat johtaa aikaisempaan tai myöhäisempään julkistamiseen. CERT/CC:n tekemiin julkistuksiin sisältyy maininta ilmoittajasta, ellei ilmoittaja toisin pyydä. Ilmoitamme vaikutuksen alaisille toimittajille julkaisusuunnitelmistamme ja neuvottelemme vaikutuksen alaisten toimittajien kanssa vaihtoehtoisista julkaisuaikatauluista tarvittaessa.

Tämän käytännön tavoitteena on tasapainottaa yleisön tarve saada tietoa tietoturvahaavoittuvuuksista toimittajien tarpeeseen saada aikaa reagoida tehokkaasti. Julkaisuaikataulun lopullinen päätös perustuu yhteisön kokonaisuuden etuun.

Meille ilmoitetut haavoittuvuudet välitetään vaikutuksen alaisille toimittajille niin pian kuin käytännössä mahdollista ilmoituksen vastaanottamisen jälkeen. Ilmoittajan nimi ja yhteystiedot välitetään vaikutuksen alaisille toimittajille, ellei ilmoittaja toisin pyydä. Kerromme ilmoittajalle hänen ilmoittamansa haavoittuvuuden tilan merkittävistä muutoksista niin pitkälle kuin mahdollista paljastamatta meille luottamuksellisesti annettuja tietoja.

Haavoittuvuudet julkistetaan haavoittuvuushuomautuksissa (Vulnerability Notes).

Yhdysvaltain hallituksen verkkosivustoja koskevat haavoittuvuusraportit välitetään US-CERT:lle koordinointia varten hallituksen kanssa.

Usein kysytyt kysymykset

K: Tarkoittaako tämä, että CERT/CC siirtyy "täyteen julkistamiseen"?

V: Emme jaa hyväksikäyttökoodeja (exploit), jos "täysi julkistaminen" tarkoittaa sitä. Kokemuksemme mukaan niiden ihmisten määrä, jotka hyötyvät hyväksikäyttökoodien saatavuudesta, on pieni verrattuna niiden ihmisten määrään, joita vahingoittavat hyväksikäyttökoodeja ilkeämielisesti käyttävät ihmiset. Julkistamme kuitenkin tietoja haavoittuvuuksista, joita emme ehkä olisi aiemmin julkistaneet. Resurssiemme rajoissa julkaisemme tietoja niin monesta haavoittuvuudesta kuin pystymme.

K: Miksei 30 päivää tai 15 päivää tai heti?

V: Mielestämme 45 päivää voi olla melko tiukka määräaika suurelle organisaatiolle. Sen lyhentäminen ei realistisesti auta ongelmaa. Ilman todisteita hyväksikäytöstä haavoittuvuuksien aiheeton ilmoittaminen ei välttämättä ole yleisen turvallisuuden edun mukaista.

K: Eikö olisi parempi pitää haavoittuvuudet hiljaa, jos korjausta ei ole saatavilla?

V: Haavoittuvuuksia löydetään ja julkistetaan rutiininomaisesti, usein ennen kuin toimittajilla on ollut reilu mahdollisuus tarjota korjaus, ja julkistukseen sisältyy usein toimivia hyväksikäyttökoodeja. Kokemuksemme mukaan, jos haavoittuvuustietojen vastuullista ja pätevää julkistamista ei tapahdu, tutkijat, ohjelmoijat, järjestelmänvalvojat ja muut IT-ammattilaiset, jotka löytävät haavoittuvuuksia, kokevat usein, ettei heillä ole muuta vaihtoehtoa kuin julkistaa tiedot yrittäessään painostaa toimittajia korjaamaan ongelman.

K: Julkistetaanko kaikki haavoittuvuudet 45 päivän kuluessa?

V: Ei. Usein voi olla olosuhteita, jotka saavat meidät säätämään julkaisuaikatauluamme. Erityisen vakavat uhat tai uhat, joista meillä on todisteita hyväksikäytöstä, saavat meidät todennäköisesti lyhentämään julkaisuaikatauluamme. Uhat, jotka vaativat "kovia" muutoksia (muutokset standardeihin, muutokset käyttöjärjestelmän ydinkomponentteihin), saavat meidät pidentämään julkaisuaikatauluamme. Emme välttämättä julkaise jokaista meille ilmoitettua haavoittuvuutta.

K: Yllätättekö toimittajat haavoittuvuuksien ilmoituksilla?

V: Emme. Ennen julkistamista pyrimme vilpittömästi ilmoittamaan toimittajille aikeistamme.

K: Jos toimittaja on eri mieltä arviostanne ongelmasta, onko tämä tieto saatavilla?

V: Kyllä. Pyydämme ja julkaisemme todennettuja toimittajalausuntoja ja viittaamme olennaisiin toimittajatietoihin haavoittuvuushuomautuksissa. Emme pidätä toimittajan antamia tietoja pelkästään siksi, että ne ovat eri mieltä arviostamme ongelmasta.

K: Kuka saa tiedot ennen julkistamista?

V: Yleisesti annamme tiedot kenelle tahansa, joka voi osallistua ratkaisuun ja jonka kanssa meillä on luottamuksellinen suhde, mukaan lukien toimittajat (usein myös toimittajat, joiden tuotteet eivät ole haavoittuvia), yhteisön asiantuntijat, rahoittajat ja kansalliseen kriittiseen infrastruktuuriin kuuluvat sivustot, jos uskomme näiden sivustojen olevan vaarassa.

K: Julkistatteko jokaisen ilmoitetun haavoittuvuuden?

V: Emme. Voimme harkintamme mukaan kieltäytyä koordinoimasta tai julkaisemasta haavoittuvuusraporttia. Tämä päätös perustuu yleensä haavoittuvuuden laajuuteen ja vakavuuteen sekä kykyymme tuoda lisäarvoa koordinointi- ja julkistamisprosessiin. Koordinoimmepa tai julkaisimmepa tai emme, suosittelemme, että ilmoittaja pyrkii vilpittömästi ilmoittamaan vaikutuksen alaiselle toimittajalle ja tekemään työtä suoraan tämän kanssa ennen julkistamista.