CERT: નબળાઈ ખુલાસા નીતિ

• સંપર્ક: ?
• વેબસાઇટ: http://www.cert.org/vulnerability-analysis/vul-disclosure.cfm
• ચકાસાયેલ: 2017-09-21

CERT/CC ને જણાવાયેલી નબળાઈઓ, અસરગ્રસ્ત વેન્ડરો તરફથી પેચ કે વૈકલ્પિક ઉપાયોનું અસ્તિત્વ કે ઉપલબ્ધતા હોય કે ન હોય, પ્રારંભિક રિપોર્ટના 45 દિવસ પછી જનતા સમક્ષ જાહેર કરવામાં આવશે. સક્રિય શોષણ, ખાસ કરીને ગંભીર (અથવા નજીવી) પ્રકૃતિની ધમકીઓ, અથવા સ્થાપિત ધોરણમાં ફેરફારો માંગતી પરિસ્થિતિઓ જેવા હળવા કરતા સંજોગોને કારણે વહેલો કે મોડો ખુલાસો થઈ શકે છે. CERT/CC દ્વારા કરાતા ખુલાસાઓમાં, રિપોર્ટર અન્યથા વિનંતી ન કરે ત્યાં સુધી, રિપોર્ટરને શ્રેય આપવામાં આવશે. અમે અસરગ્રસ્ત વેન્ડરોને અમારી પ્રકાશન યોજનાઓથી વાકેફ કરીશું અને જરૂર પડ્યે અસરગ્રસ્ત વેન્ડરો સાથે વૈકલ્પિક પ્રકાશન સમયપત્રક અંગે વાટાઘાટો કરીશું.

આ નીતિનું લક્ષ્ય સુરક્ષા નબળાઈઓ અંગે જનતાને માહિતગાર કરવાની જરૂરિયાત અને અસરકારક રીતે પ્રતિસાદ આપવા માટે વેન્ડરોને જોઈતા સમય વચ્ચે સંતુલન જાળવવાનું છે. પ્રકાશન સમયપત્રકનો અંતિમ નિર્ણય એકંદર સમુદાયના શ્રેષ્ઠ હિતો પર આધારિત હશે.

અમને જણાવાયેલી નબળાઈઓ રિપોર્ટ મળ્યા પછી શક્ય તેટલી જલદી અસરગ્રસ્ત વેન્ડરોને મોકલવામાં આવશે. રિપોર્ટર અન્યથા વિનંતી ન કરે ત્યાં સુધી રિપોર્ટરનું નામ અને સંપર્ક માહિતી અસરગ્રસ્ત વેન્ડરોને મોકલવામાં આવશે. અમને વિશ્વાસમાં આપેલી માહિતી જાહેર કર્યા વિના શક્ય હોય ત્યાં સુધી, રિપોર્ટરે જણાવેલી કોઈપણ નબળાઈની સ્થિતિમાં થતા નોંધપાત્ર ફેરફારો અંગે અમે રિપોર્ટરને જાણ કરીશું.

નબળાઈઓ Vulnerability Notes માં જાહેર કરવામાં આવશે.

U.S. સરકારની વેબ સાઇટો માટેના નબળાઈ રિપોર્ટ સરકાર સાથે સંકલન માટે US-CERT ને મોકલવામાં આવશે.

વારંવાર પૂછાતા પ્રશ્નો

પ્ર: શું આનો અર્થ એ છે કે CERT/CC "સંપૂર્ણ ખુલાસા" તરફ જઈ રહ્યું છે?

ઉ: જો "સંપૂર્ણ ખુલાસા"નો અર્થ એ હોય, તો અમે એક્સપ્લોઈટનું વિતરણ કરીશું નહીં. અમારા અનુભવમાં, એક્સપ્લોઈટની ઉપલબ્ધતાથી લાભ મેળવી શકે તેવા લોકોની સંખ્યા, એક્સપ્લોઈટનો દૂષિત ઉપયોગ કરતા લોકો દ્વારા નુકસાન પામતા લોકોની સંખ્યાની સરખામણીમાં નાની છે. જો કે, અમે એવી નબળાઈઓ વિશેની માહિતી જાહેર કરીશું જે કદાચ અમે અગાઉ જાહેર ન કરી હોય. અમારા સંસાધનોની મર્યાદામાં, અમે બને તેટલી નબળાઈઓ વિશેની માહિતી પ્રકાશિત કરીશું.

પ્ર: 30 દિવસ, કે 15 દિવસ, કે તરત કેમ નહીં?

ઉ: અમને લાગે છે કે મોટી સંસ્થા માટે 45 દિવસ એકદમ કઠિન સમયમર્યાદા હોઈ શકે છે. તેને ટૂંકી કરવાથી વાસ્તવિક રીતે સમસ્યામાં મદદ નહીં મળે. શોષણના પુરાવાની ગેરહાજરીમાં, નબળાઈઓની અકારણ જાહેરાત કરવી જાહેર સલામતીના શ્રેષ્ઠ હિતમાં ન પણ હોય.

પ્ર: જો સુધારો ઉપલબ્ધ ન હોય તો નબળાઈઓ ગુપ્ત રાખવી વધુ સારું ન રહે?

ઉ: નબળાઈઓ નિયમિત રીતે શોધાય છે અને જાહેર થાય છે, ઘણીવાર વેન્ડરોને સુધારો આપવાની વાજબી તક મળે તે પહેલાં, અને ઘણીવાર ખુલાસામાં કાર્યરત એક્સપ્લોઈટ પણ સામેલ હોય છે. અમારા અનુભવમાં, જો નબળાઈ માહિતીનો જવાબદાર, લાયક ખુલાસો ન હોય, તો નબળાઈઓ શોધનારા સંશોધકો, પ્રોગ્રામરો, સિસ્ટમ સંચાલકો અને અન્ય IT વ્યાવસાયિકોને ઘણીવાર લાગે છે કે વેન્ડરોને સમસ્યા સંબોધવા ફરજ પાડવાના પ્રયાસરૂપે માહિતી જાહેર કરવા સિવાય તેમની પાસે કોઈ વિકલ્પ નથી.

પ્ર: શું બધી નબળાઈઓ 45 દિવસમાં જાહેર થશે?

ઉ: ના. એવા સંજોગો ઘણીવાર હોઈ શકે છે જે અમને અમારું પ્રકાશન સમયપત્રક સમાયોજિત કરવા પ્રેરે. ખાસ ગંભીર ધમકીઓ, અથવા જેના માટે અમારી પાસે શોષણના પુરાવા હોય, તે કદાચ અમારા રિલીઝ સમયપત્રકને ટૂંકું કરવા પ્રેરશે. જે ધમકીઓને "કઠિન" ફેરફારો (ધોરણોમાં ફેરફાર, મુખ્ય ઓપરેટિંગ સિસ્ટમ ઘટકોમાં ફેરફાર) જોઈએ તે અમારું પ્રકાશન સમયપત્રક લંબાવવા પ્રેરશે. અમને જણાવાયેલી દરેક નબળાઈ અમે પ્રકાશિત ન પણ કરીએ.

પ્ર: શું તમે નબળાઈઓની જાહેરાતોથી વેન્ડરોને આશ્ચર્યચકિત કરશો?

ઉ: ના. જાહેર ખુલાસા પહેલાં, અમારા ઇરાદાઓથી વેન્ડરોને વાકેફ કરવા અમે સદ્ભાવનાથી પ્રયત્ન કરીશું.

પ્ર: જો કોઈ વેન્ડર સમસ્યા અંગેના તમારા મૂલ્યાંકન સાથે અસંમત હોય, તો શું તે માહિતી ઉપલબ્ધ રહેશે?

ઉ: હા. અમે પ્રમાણિત વેન્ડર નિવેદનો માંગીએ છીએ અને પોસ્ટ કરીએ છીએ, અને નબળાઈ નોંધોમાં સંબંધિત વેન્ડર માહિતીનો સંદર્ભ આપીએ છીએ. સમસ્યા અંગેના અમારા મૂલ્યાંકન સાથે અસંમત હોવાના કારણે જ અમે વેન્ડરે આપેલી માહિતી રોકી રાખીશું નહીં.

પ્ર: જાહેર ખુલાસા પહેલાં માહિતી કોને મળે છે?

ઉ: સામાન્ય રીતે, ઉકેલમાં યોગદાન આપી શકે અને જેમની સાથે અમારો વિશ્વાસપાત્ર સંબંધ હોય તેવા કોઈપણને અમે માહિતી આપીએ છીએ, જેમાં વેન્ડરો (ઘણીવાર જેમના ઉત્પાદનો નબળા નથી તેવા વેન્ડરો સહિત), સમુદાય નિષ્ણાતો, પ્રાયોજકો, અને રાષ્ટ્રીય નિર્ણાયક માળખાના ભાગરૂપ સાઇટોનો સમાવેશ થાય છે, જો અમે માનીએ કે તે સાઇટો જોખમમાં છે.

પ્ર: શું તમે જણાવાયેલી દરેક નબળાઈ જાહેર કરો છો?

ઉ: ના. અમે અમારી વિવેકબુદ્ધિથી નબળાઈ રિપોર્ટનું સંકલન કરવાનો કે તેને પ્રકાશિત કરવાનો ઇનકાર કરી શકીએ છીએ. આ નિર્ણય સામાન્ય રીતે નબળાઈના વ્યાપ અને ગંભીરતા, અને સંકલન તથા ખુલાસા પ્રક્રિયામાં મૂલ્ય ઉમેરવાની અમારી ક્ષમતા પર આધારિત હોય છે. અમે સંકલન કે પ્રકાશન કરીએ કે ન કરીએ, અમે રિપોર્ટરને ભલામણ કરીએ છીએ કે જાહેર ખુલાસા પહેલાં અસરગ્રસ્ત વેન્ડરને જાણ કરવા અને તેની સાથે સીધું કામ કરવા સદ્ભાવનાથી પ્રયત્ન કરે.