Coordinated vulnerability disclosure
← Poileasaidhean

CERT: Poileasaidh Foillseachaidh So-leòntachd

Thèid so-leòntachdan a chuirear an cèill dhan CERT/CC fhoillseachadh don phoball 45 latha an dèidh na ciad aithisge, ge b’ e a bheil clàran-càraidh no dòighean-obrach eile ann no ri fhaighinn bho reiceadairean air a bheil buaidh. Faodaidh suidheachaidhean maothachaidh, leithid brath gnìomhach, bagairtean a tha gu sònraichte dona (no suarach), no suidheachaidhean a dh’iarras atharraichean air inbhe stèidhichte, foillseachadh na bu tràithe no na b’ fhaide air adhart a thoirt gu buil. Gabhaidh foillseachaidhean a nì an CERT/CC a-steach creideas don neach-aithris mura h-iarr an neach-aithris a chaochladh. Cuiridh sinn fios dha na reiceadairean air a bheil buaidh mu ar planaichean foillseachaidh agus cuiridh sinn clàran-foillseachaidh eile air dòigh leis na reiceadairean air a bheil buaidh nuair a bhios feum air.

Is e amas a’ phoileasaidh seo cothromachadh a dhèanamh eadar feum a’ phobaill air fios fhaighinn mu so-leòntachdan tèarainteachd agus feum nan reiceadairean air ùine gus freagairt gu h-èifeachdach. Bidh a’ cho-dhùnadh mu dheireadh air clàr-foillseachaidh stèidhichte air na h-ùidhean as fheàrr aig a’ choimhearsnachd gu h-iomlan.

Thèid so-leòntachdan a chuirear an cèill dhuinn a chur air adhart dha na reiceadairean air a bheil buaidh cho luath ’s as practaigeach às dèidh dhuinn an aithisg fhaighinn. Thèid ainm agus fiosrachadh conaltraidh an neach-aithris a chur air adhart dha na reiceadairean air a bheil buaidh mura h-iarr an neach-aithris a chaochladh. Cuiridh sinn fios chun an neach-aithris mu dh’atharrachaidhean cudromach ann an staid so-leòntachd sam bith a dh’aithris e no i a-mach as urrainn gun fhiosrachadh a chaidh a thoirt dhuinn ann an dìomhaireachd a nochdadh.

Thèid so-leòntachdan fhoillseachadh ann an Vulnerability Notes.

Thèid aithisgean so-leòntachd airson làraichean-lìn Riaghaltas nan Stàitean Aonaichte a chur air adhart gu US-CERT airson co-òrdanachadh leis an riaghaltas.

Ceistean Cumanta

C: A bheil seo a’ ciallachadh gu bheil an CERT/CC a’ dol “làn-fhoillseachadh”?

F: Cha sgaoil sinn exploits, ma tha sin a’ ciallachadh “làn-fhoillseachadh”. Nar n-eòlas-ne, tha an àireamh de dhaoine a dh’fhaodadh buannachd fhaighinn à exploits a bhith ri fhaighinn beag an coimeas ris an àireamh de dhaoine a dh’fhuiling cron le daoine a chleachdas exploits gu droch-rùnach. Foillsichidh sinn, ge-tà, fiosrachadh mu so-leòntachdan nach biodh sinn air fhoillseachadh roimhe. Taobh a-staigh crìochan ar goireasan, foillsichidh sinn fiosrachadh mu uiread de so-leòntachdan ’s as urrainn dhuinn.

C: Carson nach e 30 latha, no 15 latha, no sa bhad?

F: Tha sinn a’ smaoineachadh gum faod 45 latha a bhith na cheann-latha gu math cruaidh do bhuidheann mhòr a choileanadh. Cha chuidich a dhèanamh nas giorra an duilgheadas gu fìrinneach. Às aonais fianais air brath, dh’fhaodadh nach eil e anns na h-ùidhean as fheàrr airson sàbhailteachd phoblach so-leòntachdan ainmeachadh gun adhbhar.

C: Nach biodh e nas fheàrr so-leòntachdan a chumail sàmhach mura bheil càradh ri fhaighinn?

F: Bidh so-leòntachdan air an lorg agus air am foillseachadh gu cunbhalach, gu tric mus eil cothrom cothromach aig reiceadairean càradh a thoirt seachad, agus gu tric bidh exploits obrach a’ gabhail a-steach san fhoillseachadh. Nar n-eòlas-ne, mura h-eil foillseachadh cunntachail, comasach de dh’fhiosrachadh so-leòntachd ann, bidh luchd-rannsachaidh, luchd-prògramaidh, rianadairean shiostaman, agus proifeiseantaich IT eile a lorgas so-leòntachdan gu tric a’ faireachdainn nach eil roghainn aca ach am fiosrachadh a dhèanamh poblach ann an oidhirp reiceadairean a spreadhadh gu dèiligeadh ris an duilgheadas.

C: A bheil a h-uile so-leòntachd gu bhith air a foillseachadh taobh a-staigh 45 latha?

F: Chan eil. Is minic a bhios suidheachaidhean ann a bheir oirnn ar clàr-foillseachaidh atharrachadh. Is dòcha gun giorraich bagairtean a tha gu sònraichte dona, no air a bheil fianais againn air brath, ar clàr-sgaoilidh. Leasaichidh bagairtean a dh’iarras atharraichean “cruaidh” (atharraichean air inbhean, atharraichean air co-phàirtean bunaiteach an t-siostaim obrachaidh) ar clàr-foillseachaidh. Dh’fhaodadh nach foillsich sinn a h-uile so-leòntachd a chuirear an cèill dhuinn.

C: An cuir sibh iongnadh air reiceadairean le ainmeachaidhean so-leòntachd?

F: Cha chuir. Mus dèan sinn foillseachadh poblach, nì sinn oidhirp le deagh-rùn ar rùintean innse do reiceadairean.

C: Ma tha reiceadair ag aontachadh nach eil le ur measadh air duilgheadas, am bi am fiosrachadh sin ri fhaighinn?

F: Bidh. Bidh sinn ag iarraidh aithrisean dearbhte bho reiceadairean agus gam postadh, agus a’ toirt iomradh air fiosrachadh buntainneach bho reiceadairean ann an vulnerability notes. Cha chùm sinn air ais fiosrachadh a thug reiceadair seachad dìreach air sgàth ’s nach eil e ag aontachadh le ar measadh air an duilgheadas.

C: Cò a gheibh am fiosrachadh ro fhoillseachadh poblach?

F: San fharsaingeachd, bidh sinn a’ toirt am fiosrachaidh do dhuine sam bith as urrainn cur ris an fhuasgladh agus aig a bheil dàimh earbsa againn, a’ gabhail a-steach reiceadairean (gu tric reiceadairean aig nach eil am bathar so-leònte), eòlaichean coimhearsnachd, luchd-urrais, agus làraichean a tha nam pàirt de bhun-structar criticeil nàiseanta, ma tha sinn a’ creidsinn gu bheil na làraichean sin ann an cunnart.

C: A bheil sibh a’ foillseachadh a h-uile so-leòntachd a chaidh aithris?

F: Chan eil. Faodaidh sinn, aig ar roghainn fhèin, diùltadh aithisg so-leòntachd a cho-òrdanachadh no fhoillseachadh. Bidh an co-dhùnadh seo gu tric stèidhichte air farsaingeachd agus cho dona ’s a tha an t-so-leòntachd agus air ar comas luach a chur ris a’ phròiseas co-òrdanachaidh agus foillseachaidh. Co-dhiù a nì sinn co-òrdanachadh no foillseachadh no nach dèan, tha sinn a’ moladh don neach-aithris oidhirp a dhèanamh le deagh-rùn an reiceadair air a bheil buaidh fhiosrachadh agus obrachadh gu dìreach leis mus dèanar foillseachadh poblach.