Coordinated vulnerability disclosure
← Politiques

CERT : Politique de divulgation des vulnérabilités

Les vulnérabilités signalées au CERT/CC seront divulguées au public 45 jours après le signalement initial, indépendamment de l'existence ou de la disponibilité de correctifs ou de contournements de la part des fournisseurs concernés. Des circonstances atténuantes, telles qu'une exploitation active, des menaces d'une nature particulièrement grave (ou anodine), ou des situations nécessitant des modifications d'une norme établie, peuvent entraîner une divulgation plus précoce ou plus tardive. Les divulgations faites par le CERT/CC mentionneront l'auteur du signalement, sauf demande contraire de sa part. Nous informerons les fournisseurs concernés de nos plans de publication et négocierons des calendriers de publication alternatifs avec eux lorsque nécessaire.

L'objectif de cette politique est d'équilibrer le besoin du public d'être informé des vulnérabilités de sécurité et le besoin des fournisseurs de disposer de temps pour réagir efficacement. La détermination finale d'un calendrier de publication sera fondée sur l'intérêt général de la communauté.

Les vulnérabilités qui nous sont signalées seront transmises aux fournisseurs concernés dès que possible après réception du signalement. Le nom et les coordonnées de l'auteur du signalement seront transmis aux fournisseurs concernés, sauf demande contraire de sa part. Nous informerons l'auteur des changements importants dans l'état de toute vulnérabilité qu'il a signalée, dans la mesure du possible, sans révéler d'informations qui nous ont été fournies à titre confidentiel.

Les vulnérabilités seront divulguées dans des notes de vulnérabilité (Vulnerability Notes).

Les signalements de vulnérabilités concernant des sites web du gouvernement des États-Unis seront transmis à l'US-CERT pour coordination avec le gouvernement.

Foire aux questions

Q : Cela signifie-t-il que le CERT/CC adopte la « divulgation complète » ?

R : Nous ne distribuerons pas d'exploits, si c'est ce que signifie « divulgation complète ». D'après notre expérience, le nombre de personnes qui peuvent bénéficier de la disponibilité d'exploits est faible par rapport au nombre de personnes lésées par ceux qui les utilisent de façon malveillante. Nous divulguerons toutefois des informations sur des vulnérabilités que nous n'aurions peut-être pas divulguées auparavant. Dans la limite de nos ressources, nous publierons des informations sur autant de vulnérabilités que possible.

Q : Pourquoi pas 30 jours, ou 15 jours, ou immédiatement ?

R : Nous pensons que 45 jours peuvent constituer un délai assez difficile à tenir pour une grande organisation. Le raccourcir n'aidera pas réellement à résoudre le problème. En l'absence de preuve d'exploitation, annoncer gratuitement des vulnérabilités peut ne pas servir au mieux la sécurité publique.

Q : Ne vaudrait-il pas mieux garder les vulnérabilités secrètes s'il n'existe pas de correctif ?

R : Les vulnérabilités sont couramment découvertes et divulguées, souvent avant que les fournisseurs aient eu une occasion équitable de proposer un correctif, et la divulgation inclut souvent des exploits fonctionnels. D'après notre expérience, en l'absence de divulgation responsable et qualifiée des informations sur les vulnérabilités, les chercheurs, programmeurs, administrateurs système et autres professionnels de l'informatique qui découvrent des vulnérabilités estiment souvent n'avoir d'autre choix que de rendre l'information publique pour contraindre les fournisseurs à traiter le problème.

Q : Toutes les vulnérabilités seront-elles divulguées dans les 45 jours ?

R : Non. Il peut souvent y avoir des circonstances qui nous amènent à ajuster notre calendrier de publication. Les menaces particulièrement graves ou pour lesquelles nous avons des preuves d'exploitation nous amèneront probablement à raccourcir notre calendrier. Les menaces qui nécessitent des changements « difficiles » (modifications de normes, modifications de composants essentiels du système d'exploitation) nous amèneront à l'allonger. Nous pouvons ne pas publier toutes les vulnérabilités qui nous sont signalées.

Q : Allez-vous surprendre les fournisseurs avec des annonces de vulnérabilités ?

R : Non. Avant la divulgation publique, nous ferons un effort de bonne foi pour informer les fournisseurs de nos intentions.

Q : Si un fournisseur n'est pas d'accord avec votre évaluation d'un problème, cette information sera-t-elle disponible ?

R : Oui. Nous sollicitons et publions des déclarations authentifiées de fournisseurs et renvoyons aux informations pertinentes des fournisseurs dans les notes de vulnérabilité. Nous ne retiendrons pas les informations fournies par un fournisseur simplement parce qu'elles contredisent notre évaluation du problème.

Q : Qui reçoit l'information avant la divulgation publique ?

R : En général, nous fournissons l'information à toute personne pouvant contribuer à la solution et avec laquelle nous avons une relation de confiance, y compris des fournisseurs (souvent même des fournisseurs dont les produits ne sont pas vulnérables), des experts de la communauté, des sponsors et des sites faisant partie d'une infrastructure critique nationale, si nous estimons que ces sites sont à risque.

Q : Divulguez-vous chaque vulnérabilité signalée ?

R : Non. Nous pouvons, à notre discrétion, refuser de coordonner ou de publier un rapport de vulnérabilité. Cette décision repose généralement sur la portée et la gravité de la vulnérabilité et sur notre capacité à apporter de la valeur au processus de coordination et de divulgation. Que nous coordonnions ou publiions ou non, nous recommandons à l'auteur du signalement de faire un effort de bonne foi pour informer le fournisseur concerné et travailler directement avec lui avant la divulgation publique.