Coordinated vulnerability disclosure
← Polasaithe

CERT: Polasaí um Nochtadh Leochaileachtaí

Nochtfar leochaileachtaí a thuairiscítear do CERT/CC don phobal 45 lá tar éis na chéad tuarascála, beag beann ar cé acu atá paistí nó réitigh shealadacha ó dhíoltóirí tionchaite ann nó ar fáil. D'fhéadfadh imthosca maolaitheacha, amhail saothrú gníomhach, bagairtí atá an-tromchúiseach (nó fánach) óna nádúr, nó cásanna a éilíonn athruithe ar chaighdeán bunaithe, nochtadh níos luaithe nó níos déanaí a bheith mar thoradh orthu. Áireofar creidmheas don tuairisceoir i nochtaí a dhéanann CERT/CC mura n-iarrann an tuairisceoir a mhalairt. Cuirfimid ár ndíoltóirí tionchaite ar an eolas faoinár bpleananna foilsithe agus déanfaimid sceidil fhoilsithe mhalartacha a chaibidil leis na díoltóirí tionchaite nuair is gá.

Is é cuspóir an pholasaí seo cothromaíocht a bhaint amach idir riachtanas an phobail go gcuirfí ar an eolas é faoi leochaileachtaí slándála agus riachtanas na ndíoltóirí le haghaidh ama chun freagairt go héifeachtach. Beidh an cinneadh deiridh ar sceideal foilsithe bunaithe ar leasanna is fearr an phobail ina iomláine.

Cuirfear leochaileachtaí a thuairiscítear dúinn ar aghaidh chuig na díoltóirí tionchaite a luaithe is féidir go praiticiúil tar éis dúinn an tuarascáil a fháil. Cuirfear ainm agus faisnéis teagmhála an tuairisceora ar aghaidh chuig na díoltóirí tionchaite mura n-iarrann an tuairisceoir a mhalairt. Cuirfimid an tuairisceoir ar an eolas faoi athruithe suntasacha ar stádas aon leochaileachta a thuairisc sé nó sí a mhéid is féidir gan faisnéis a tugadh dúinn faoi rún a nochtadh.

Nochtfar leochaileachtaí i Vulnerability Notes.

Cuirfear tuarascálacha leochaileachta le haghaidh suíomhanna gréasáin Rialtas na Stát Aontaithe ar aghaidh chuig US-CERT le haghaidh comhordaithe leis an rialtas.

Ceisteanna Coitianta

C: An ionann é seo agus a rá go bhfuil CERT/CC ag dul i dtreo "nochtadh iomlán"?

F: Ní dháilfimid saothruithe, más é sin atá i gceist le "nochtadh iomlán". Inár dtaithí, tá líon na ndaoine a bhféadfadh leas a bhaint as infhaighteacht saothruithe beag i gcomparáid le líon na ndaoine a ndéanann daoine a úsáideann saothruithe go mailíseach dochar dóibh. Nochtfaimid, áfach, faisnéis faoi leochaileachtaí nach mbeadh nochta againn roimhe seo. Laistigh de theorainneacha ár n-acmhainní, foilseoimid faisnéis faoi oiread leochaileachtaí agus is féidir linn.

C: Cén fáth nach 30 lá, nó 15 lá, nó láithreach?

F: Ceapaimid go bhféadfadh 45 lá a bheith ina spriocdháta cruinn go leor d'eagraíocht mhór a chomhlíonadh. Ní chabhróidh sé leis an bhfadhb go réalaíoch é a dhéanamh níos giorra. Gan fianaise ar shaothrú, d'fhéadfadh nach mbeadh sé i leas is fearr na sábháilteachta poiblí leochaileachtaí a fhógairt gan chúis.

C: Nach fearr leochaileachtaí a choinneáil ciúin mura bhfuil réiteach ar fáil?

F: Aimsítear agus nochtar leochaileachtaí go rialta, go minic sula mbíonn deis chóir ag díoltóirí réiteach a sholáthar, agus is minic a áirítear saothruithe oibre sa nochtadh. Inár dtaithí, mura bhfuil nochtadh freagrach, cáilithe d'fhaisnéis leochaileachta ann, is minic a bhraitheann taighdeoirí, ríomhchláraitheoirí, riarthóirí córas, agus gairmithe TF eile a aimsíonn leochaileachtaí nach bhfuil aon rogha acu ach an fhaisnéis a dhéanamh poiblí in iarracht iallach a chur ar dhíoltóirí aghaidh a thabhairt ar an bhfadhb.

C: An nochtfar gach leochaileacht laistigh de 45 lá?

F: Ní nochtfar. Is minic a bhíonn imthosca ann a chuirfidh ar ár gcumas ár sceideal foilsithe a choigeartú. Is dócha go ndéanfaidh bagairtí atá an-tromchúiseach nó a bhfuil fianaise againn ar shaothrú ina leith ár sceideal eisiúna a ghiorrú. Cuirfidh bagairtí a éilíonn athruithe "crua" (athruithe ar chaighdeáin, athruithe ar chomhpháirteanna croí an chórais oibriúcháin) ar ár sceideal foilsithe a shíneadh. Is féidir nach bhfoilseoimid gach leochaileacht a thuairiscítear dúinn.

C: An gcuirfidh sibh díoltóirí ar an eolas go tobann le fógraí leochaileachtaí?

F: Ní chuirfimid. Sula ndéantar nochtadh poiblí, déanfaimid iarracht i ndea-chreideamh ár bhfúinn a chur in iúl do dhíoltóirí.

C: Má easaontaíonn díoltóir le bhur meastóireacht ar fhadhb, an mbeidh an fhaisnéis sin ar fáil?

F: Beidh. Iarraimid ráitis dhílse ó dhíoltóirí agus postáilimid iad agus tagraímid d'fhaisnéis ábhartha ó dhíoltóirí i vulnerability notes. Ní choinneoimid siar faisnéis a sholáthraíonn díoltóir díreach toisc go n-easaontaíonn sí lenár meastóireacht ar an bhfadhb.

C: Cé a fhaigheann an fhaisnéis sula ndéantar nochtadh poiblí?

F: Go ginearálta, soláthraímid an fhaisnéis d'aon duine ar féidir leis cur leis an réiteach agus a bhfuil caidreamh iontaobhach againn leis, lena n-áirítear díoltóirí (go minic díoltóirí nach bhfuil a dtáirgí leochaileach), saineolaithe pobail, urraitheoirí, agus suíomhanna atá mar chuid de bhonneagar criticiúil náisiúnta, má chreidimid go bhfuil na suíomhanna sin i mbaol.

C: An nochtann sibh gach leochaileacht a thuairiscítear?

F: Ní nochtaimid. Féadfaimid, de réir ár ndeismireachta, diúltú tuarascáil leochaileachta a chomhordú nó a fhoilsiú. Is minic a bhíonn an cinneadh seo bunaithe ar scóip agus déine na leochaileachta agus ar ár gcumas luach a chur leis an bpróiseas comhordaithe agus nochta. Cibé acu a dhéanaimid comhordú nó foilsiú nó nach ndéanaimid, molaimid don tuairisceoir iarracht a dhéanamh i ndea-chreideamh an díoltóir tionchaite a chur ar an eolas agus oibriú go díreach leis sula ndéantar nochtadh poiblí.