Coordinated vulnerability disclosureCERT: מדיניות חשיפת פגיעויות
- איש קשר: ?
- אתר: http://www.cert.org/vulnerability-analysis/vul-disclosure.cfm
- אומת: 2017-09-21
פגיעויות המדווחות ל-CERT/CC יפורסמו לציבור 45 ימים לאחר הדיווח הראשוני, ללא קשר לקיומם או לזמינותם של טלאים או עקיפות מצד ספקים מושפעים. נסיבות מקלות, כגון ניצול פעיל, איומים בעלי אופי חמור במיוחד (או טריוויאלי) או מצבים הדורשים שינויים בתקן מבוסס, עשויות להביא לחשיפה מוקדמת או מאוחרת יותר. חשיפות שנעשות על ידי CERT/CC יכללו מתן קרדיט למדווח אלא אם המדווח ביקש אחרת. נעדכן ספקים מושפעים בתוכניות הפרסום שלנו ונשא ונתן על לוחות זמנים חלופיים לפרסום עם ספקים מושפעים בעת הצורך.
מטרת מדיניות זו היא לאזן בין צורך הציבור להיות מיודע על פגיעויות אבטחה לבין צורך הספקים בזמן להגיב ביעילות. ההכרעה הסופית בלוח הזמנים לפרסום תתבסס על טובת הקהילה כולה.
פגיעויות המדווחות לנו יועברו לספקים המושפעים בהקדם המעשי לאחר שנקבל את הדיווח. שמו ופרטי הקשר של המדווח יועברו לספקים המושפעים אלא אם המדווח ביקש אחרת. נעדכן את המדווח בשינויים משמעותיים במצב כל פגיעות שדיווח עליה במידת האפשר מבלי לחשוף מידע שנמסר לנו בסודיות.
פגיעויות יפורסמו ב-Vulnerability Notes.
דיווחי פגיעויות לאתרי ממשלת ארה"ב יועברו ל-US-CERT לתיאום עם הממשלה.
שאלות נפוצות
ש: האם משמעות הדבר היא ש-CERT/CC עוברת ל"חשיפה מלאה" (full disclosure)?
ת: לא נפיץ exploits, אם זה מה ש"חשיפה מלאה" אומרת. מניסיוננו, מספר האנשים שיכולים ליהנות מזמינות exploits קטן בהשוואה למספר האנשים שניזוקים מאנשים המשתמשים ב-exploits בזדון. עם זאת, נחשוף מידע על פגיעויות שאולי לא חשפנו בעבר. במגבלות המשאבים שלנו, נפרסם מידע על כמה שיותר פגיעויות.
ש: מדוע לא 30 יום, או 15 יום, או מיד?
ת: אנו חושבים ש-45 יום יכולים להיות מועד אחרון די קשה לארגון גדול לעמוד בו. קיצורו לא יעזור באופן מציאותי לבעיה. בהיעדר ראיות לניצול, הכרזה מיותרת על פגיעויות עשויה שלא להיות לטובת הביטחון הציבורי.
ש: האם לא עדיף לשמור פגיעויות בסוד אם אין תיקון זמין?
ת: פגיעויות מתגלות ונחשפות באופן שגרתי, לעיתים קרובות לפני שלספקים הייתה הזדמנות הוגנת לספק תיקון, והחשיפה כוללת לעיתים קרובות exploits פועלים. מניסיוננו, אם אין חשיפה אחראית ומוסמכת של מידע על פגיעויות, חוקרים, מתכנתים, מנהלי מערכות ואנשי מקצוע אחרים בתחום ה-IT שמגלים פגיעויות מרגישים לעיתים קרובות שאין להם ברירה אלא לפרסם את המידע בניסיון לאלץ ספקים לטפל בבעיה.
ש: האם כל הפגיעויות ייחשפו תוך 45 יום?
ת: לא. לעיתים קרובות עשויות להיות נסיבות שיגרמו לנו להתאים את לוח הזמנים לפרסום. איומים חמורים במיוחד או כאלה שיש לנו ראיות לניצולם יגרמו ככל הנראה לקיצור לוח הזמנים לשחרור. איומים הדורשים שינויים "קשים" (שינויים בתקנים, שינויים ברכיבי ליבה של מערכת ההפעלה) יגרמו להארכת לוח הזמנים לפרסום. ייתכן שלא נפרסם כל פגיעות שמדווחת לנו.
ש: האם תפתיעו ספקים בהכרזות על פגיעויות?
ת: לא. לפני חשיפה פומבית, נעשה מאמץ בתום לב להודיע לספקים על כוונותינו.
ש: אם ספק אינו מסכים עם הערכתכם לגבי בעיה, האם מידע זה יהיה זמין?
ת: כן. אנו מבקשים ומפרסמים הצהרות מאומתות של ספקים ומפנים למידע רלוונטי של ספקים ב-vulnerability notes. לא נעכב מידע שסיפק ספק רק משום שהוא אינו מסכים עם הערכתנו את הבעיה.
ש: מי מקבל את המידע לפני החשיפה הפומבית?
ת: בדרך כלל אנו מספקים את המידע לכל מי שיכול לתרום לפתרון ושיש לנו איתו יחסי אמון, כולל ספקים (לעיתים קרובות כולל ספקים שהמוצרים שלהם אינם פגיעים), מומחי קהילה, נותני חסות ואתרים שהם חלק מתשתית קריטית לאומית, אם אנו מאמינים שאתרים אלה בסיכון.
ש: האם אתם חושפים כל פגיעות שמדווחת?
ת: לא. אנו רשאים, לפי שיקול דעתנו, לסרב לתאם או לפרסם דיווח פגיעות. החלטה זו מבוססת בדרך כלל על היקף וחומרת הפגיעות ועל יכולתנו להוסיף ערך לתהליך התיאום והחשיפה. בין אם אנו מתאמים או מפרסמים ובין אם לא, אנו ממליצים שהמדווח יעשה מאמץ בתום לב להודיע לספק המושפע ולעבוד עמו ישירות לפני החשיפה הפומבית.