Coordinated vulnerability disclosure
← Manufofi

CERT: Manufar Bayyana Rashin Tsaro

Za a bayyana wa jama'a raunin tsaron da aka bayar da rahotonsa ga CERT/CC kwanaki 45 bayan rahoton farko, ba tare da la'akari da kasancewa ko samuwar gyare-gyare ko hanyoyin wucin gadi daga masu sayarwa da abin ya shafa ba. Yanayi na musamman, kamar amfani da rashin tsaron a zahiri, barazana masu tsanani musamman (ko marasa muhimmanci), ko yanayin da ke buƙatar canje-canje ga ma'auni da aka kafa, na iya haifar da bayyanawa da wuri ko a makare. Bayyanawar da CERT/CC ta yi za ta haɗa da yaba wa mai bayar da rahoto sai dai idan mai bayar da rahoton ya nemi akasin haka. Za mu sanar da duk masu sayarwa da abin ya shafa shirye-shiryenmu na wallafawa kuma mu yi shawarwari kan wasu jadawalin wallafawa dabam da masu sayarwa da abin ya shafa idan an buƙata.

Manufar wannan manufa ita ce daidaita buƙatar jama'a ta sanin raunin tsaro da buƙatar masu sayarwa ta samun lokaci don amsawa yadda ya kamata. Ƙudurin ƙarshe na jadawalin wallafawa zai dogara ne da mafi kyawun muradun al'umma baki ɗaya.

Za a tura raunin tsaron da aka bayar da rahotonsa gare mu ga masu sayarwa da abin ya shafa da zarar hakan ya yiwu bayan mun karɓi rahoton. Za a tura sunan mai bayar da rahoton da bayanin tuntuɓarsa ga masu sayarwa da abin ya shafa sai dai idan mai bayar da rahoton ya nemi akasin haka. Za mu sanar da mai bayar da rahoton manyan canje-canje a halin kowane rauni da ya bayar da rahotonsa gwargwadon yadda zai yiwu ba tare da bayyana bayanan da aka ba mu cikin amana ba.

Za a bayyana raunin tsaro a cikin Vulnerability Notes.

Za a tura rahotannin raunin tsaro na shafukan yanar gizo na Gwamnatin Amurka zuwa US-CERT don daidaitawa da gwamnati.

Tambayoyin da ake yawan yi

T: Shin wannan yana nufin CERT/CC tana tafiya zuwa “cikakken bayyanawa”?

A: Ba za mu rarraba exploits ba, idan wannan shi ne abin da “cikakken bayyanawa” yake nufi. A ganinmu, adadin mutanen da za su amfana daga samuwar exploits ƙarami ne idan aka kwatanta da adadin mutanen da masu amfani da exploits da mugun nufi ke cutarwa. Duk da haka, za mu bayyana bayani game da raunin tsaro da wataƙila ba mu taɓa bayyanawa a baya ba. Gwargwadon iyakar albarkatunmu, za mu wallafa bayani game da raunin tsaro da yawa kamar yadda za mu iya.

T: Me ya sa ba kwanaki 30 ba, ko kwanaki 15, ko nan take?

A: Muna ganin cewa kwanaki 45 na iya zama wa'adi mai tsauri ga babbar ƙungiya ta cika. Rage shi ba zai taimaka wa matsalar da gaske ba. Idan babu shaidar amfani da rashin tsaron, sanar da raunin tsaro ba tare da dalili ba ba lallai ba ne ya dace da mafi kyawun muradun amincin jama'a.

T: Shin ba zai fi kyau a ɓoye raunin tsaro ba idan babu gyara?

A: Ana gano raunin tsaro da bayyana shi akai-akai, sau da yawa kafin masu sayarwa su sami dama mai kyau ta samar da gyara, kuma bayyanawar sau da yawa tana ƙunshe da exploits masu aiki. A ganinmu, idan babu bayyana bayanan rashin tsaro cikin alhaki da cancanta, masu bincike, masu shirya manhaja, masu gudanar da tsarin, da sauran ƙwararrun IT da suke gano raunin tsaro sau da yawa suna ganin ba su da zaɓi sai dai su bayyana bayanin ga jama'a a ƙoƙarin tilasta wa masu sayarwa su magance matsalar.

T: Shin za a bayyana dukkan raunin tsaro cikin kwanaki 45?

A: A'a. Sau da yawa ana iya samun yanayi da zai sa mu daidaita jadawalin wallafawarmu. Barazana masu tsanani musamman ko waɗanda muke da shaidar amfani da su, da alama za su sa mu rage jadawalin fitowarmu. Barazana da ke buƙatar canje-canje “masu wuya” (canje-canje ga ma'auni, canje-canje ga muhimman sassan tsarin aiki) za su sa mu tsawaita jadawalin wallafawarmu. Ƙila ba za mu wallafa kowane rashin tsaro da aka bayar da rahotonsa gare mu ba.

T: Shin za ku ba masu sayarwa mamaki da sanar da raunin tsaro?

A: A'a. Kafin bayyanawa ga jama'a, za mu yi ƙoƙari da kyakkyawar niyya don sanar da masu sayarwa abin da muke nufi.

T: Idan mai sayarwa bai yarda da kimantawarku ta matsala ba, shin za a sami wannan bayanin?

A: Ee. Muna neman kuma muna wallafa bayanan masu sayarwa da aka tabbatar kuma muna ambaton bayanan masu sayarwa masu dacewa a cikin vulnerability notes. Ba za mu riƙe bayanin da mai sayarwa ya bayar ba kawai saboda bai yarda da kimantawarmu ta matsalar ba.

T: Wa ke samun bayanin kafin bayyanawa ga jama'a?

A: Gabaɗaya, muna ba da bayanin ga duk wanda zai iya ba da gudummawa ga mafita kuma wanda muke da amintacciyar dangantaka da shi, ciki har da masu sayarwa (sau da yawa har da masu sayarwa waɗanda samfuransu ba su da rashin tsaro), ƙwararrun al'umma, masu ɗaukar nauyi, da shafukan da suke cikin muhimman kayayyakin more rayuwa na ƙasa, idan mun yi imanin waɗannan shafukan suna cikin haɗari.

T: Shin kuna bayyana kowane rashin tsaro da aka bayar da rahotonsa?

A: A'a. Za mu iya, bisa ga ra'ayinmu, ƙin daidaitawa ko wallafa rahoton rashin tsaro. Wannan shawara yawanci tana dogara ne da faɗi da tsananin rashin tsaron da ikonmu na ƙara daraja ga tsarin daidaitawa da bayyanawa. Ko muna daidaitawa ko muna wallafawa ko a'a, muna ba da shawarar mai bayar da rahoton ya yi ƙoƙari da kyakkyawar niyya don sanar da mai sayarwa da abin ya shafa kuma ya yi aiki kai tsaye da shi kafin bayyanawa ga jama'a.