Coordinated vulnerability disclosure

Koordinirano otkrivanje ranjivosti (CVD)

Kako prijaviti, primiti i koordinirati sigurnosne ranjivosti, s primjerima politika.

Koordinirano otkrivanje ranjivosti (Coordinated vulnerability disclosure, CVD) pojam je iz računalne sigurnosti. Opisuje kako ljudi mogu dijeliti izvješća o sigurnosnim problemima. Primjeri su izvješća o greškama, rizici od upada, upozorenja o hakiranju, curenje podataka, provale u web-stranice itd.

Prijevodi: العربية, Български, বাংলা, Čeština, Cymraeg, Dansk, Deutsch, Ελληνικά, English, Español, Eesti, Euskara, فارسی, Suomi, Français, Gaeilge, Gàidhlig, ગુજરાતી, Hausa, עברית, हिन्दी, Hrvatski, Magyar, Bahasa Indonesia, Íslenska, Italiano, 日本語, 한국어, Lietuvių, Latviešu, Nederlands, Polski, Português, Română, Русский, Slovenčina, Slovenščina, Svenska, Kiswahili, ไทย, Türkçe, Українська, اردو, Tiếng Việt, 中文

Sadržaj:

Politike:

Uvod

Ovaj dokument objašnjava koordinirano otkrivanje ranjivosti na načine koji mogu pomoći ljudima da rade zajedno.

Ciljevi dokumenta:

  1. Pomoći ljudima koji otkriju sigurnosne probleme i žele ih prijaviti.

  2. Pomoći predstavnicima tvrtki da razumiju potrebe, ciljeve, prakse i posebne slučajeve odgovornog otkrivanja.

  3. Uključiti primjere politika koordiniranog otkrivanja ranjivosti u mapu repozitorija.

Dobrodošli su pull requestovi, GitHub issues ili e-pošta na security@joelparkerhenderson.com.

Što je koordinirano otkrivanje ranjivosti?

Koordinirano otkrivanje ranjivosti opisuje tri koraka kada netko otkrije sigurnosni problem (primjerice softversku grešku) i želi ga prijaviti proizvođaču (primjerice tvrtki koja izrađuje softver).

Koraci:

  1. Otkrivač privatno i u dobroj vjeri prijavljuje problem proizvođaču.

  2. Proizvođač u dobroj vjeri nastoji zaštititi korisnike i riješiti problem.

  3. Nakon dogovorenog vremena sigurnosni problem postaje javan.

Korak 1: Prijavite problem

Korak 1 je za otkrivača: prijavite problem privatno i u dobroj vjeri.

  • Dobro: Otkrivač šalje relevantne informacije proizvođaču, primjerice e-poštom na sigurnosnu adresu proizvođača (obično „security@example.com") ili putem web-obrasca na proizvođačevoj web-stranici (obično „https://www.example.com/security").

  • Loše: objavljivanje izvješća na javnom blogu, uzbunjivanje medija, prijetnje ili pokušaji prodaje sigurnosnog problema hakerima itd.

  • Savjet: otkrivač može odabrati ostati anoniman; i proizvođač može odabrati ostati anoniman.

Ako želite, nastavite pratiti problem.

  • Dobro: otvaranje kanala komunikacije, pružanje naknadnih informacija ili praćenje situacije.

  • Loše: zaboravljanje problema.

  • Savjet: otkrivač može odabrati hoće li pomagati ili ne, hoće li biti u komunikaciji ili ne, a može i promijeniti dogovor ako se okolnosti promijene.

Ako želite, otkrijte problem i drugima.

  • Dobro: čekanje dogovorenog vremena pa objava, primjerice objavom relevantnih informacija na sigurnosnom news-portalu, kontaktiranjem relevantnih vanjskih sigurnosnih istraživača ili objavom problema na bilo kojoj javnoj društvenoj platformi itd.

  • Loše: neotkrivanje problema drugima, osim ako smatrate da bi to izazvalo veći rizik od usporedivog za vas ili druge.

  • Savjet: ako se okolnosti promijene, primjerice otkrije se veći rizik ili aktivna eksploatacija u stvarnom svijetu, otkrivač može problem otkriti drugima ranije.

Korak 2: Osigurajte kontakte

Korak 2 je za proizvođača: osigurajte da su kontakti upotrebljivi.

  • Dobro: Proizvođač objavljuje sigurnosnu kontakt e-adresu (konvencionalno „security@example.com") i idealno siguran ključ za šifriranje e-pošte.

  • Dobro: Proizvođač objavljuje sigurnosnu kontakt web-stranicu (konvencionalno „https://www.example.com/security") i idealno je čini lako pronalazivom, primjerice putem podnožja web-stranice, karte web-mjesta i pretraživanja.

  • Loše: Proizvođač ne daje e-adresu ni web-stranicu ili ih ne čini lako pronalazivima.

Osigurajte sposobnosti osoblja.

  • Dobro: Proizvođač obučava osoblje za podršku što činiti ako primi sigurnosni upit, primjerice kako odgovoriti kontakt-podacima ili kako proslijediti upit ispravnom internom timu.

  • Dobro: Proizvođač povremeno provjerava funkcioniraju li sposobnosti osoblja.

  • Loše: Proizvođač ne obučava ili ne provjerava.

Odgovorite otkrivaču u zadanom roku.

  • Ako otkrivač ne navede rok, koristite jedan radni dan, jer je to industrijski standard i trenutačna najbolja industrijska praksa.

  • Ako otkrivač postavlja pitanja, odgovorite na njih. To je osobito važno ako otkrivač traži dopuštenje za testiranje. Pobrinite se da svi odgovori budu jasni i izravni.

Odgovorite otkrivaču putem ovlaštenog sigurnosnog kontakta i/ili ovlaštenog sigurnosnog procesa.

  • Dobro: odgovor sa sigurnosno-specifične e-adrese, kao što je „security@example.com".

  • Primjerice, loše je: odgovor s e-adrese opće namjene, kao što je „help@example.com", ili od osobe koja nije ovlašteni sigurnosni stručnjak.

Odgovorite otkrivaču da je problem prepoznat kao sigurnosno izvješće.

  • Dobro: sigurnosno-specifične formulacije, kao što su „Naš sigurnosni tim primio je vaše izvješće o odgovornom otkrivanju", „Naš sigurnosni proces ima sljedeće korake" ili „Vaši su podaci sada u našem sigurnosnom trackeru pod brojem XYZ" itd.

  • Loše: formulacije opće namjene, kao što su „Cijenimo vaše poslovanje" ili „Sigurnost shvaćamo ozbiljno", te formulacije prebacivanja odgovornosti, kao što je „Vašu e-poštu poslali smo drugom odjelu" itd.

Korak 3: Postupajte u dobroj vjeri

Korak 3 je za otkrivača i proizvođača zajedno: postupajte u dobroj vjeri.

Razumite da koordinirano otkrivanje ranjivosti opisuje proces u dobroj vjeri.

  • Cilj br. 1 je u dobroj vjeri pomoći korisnicima da se zaštite od sigurnosnih rizika.

  • Cilj br. 2 je u dobroj vjeri riješiti sigurnosni problem.

  • Otkrivač i/ili proizvođač mogu u dobroj vjeri odlučiti uključiti druge sigurnosne stručnjake, primjerice kontaktiranjem drugih relevantnih sigurnosnih istraživača koji će pomoći oko problema.

Razumite da koordinirano otkrivanje ranjivosti ne stvara nikakvu obvezu.

  • Otkrivač i/ili proizvođač mogu odustati u bilo kojem trenutku, iz bilo kojeg razloga, s upozorenjem ili bez njega. Pristojno je sve relevantne ljude obavještavati i održavati ih na tekućem, no to nije uvijek moguće, praktično ni poželjno.

  • Koordinirano otkrivanje ranjivosti ne stvara nikakav pravni sporazum. Ako otkrivač i proizvođač već imaju pravni sporazum, predlažemo da se svi sudionici posavjetuju s odgovarajućim odvjetnicima; ne koristite ovaj dokument kao pravni savjet.

Razumite da koordinirano otkrivanje ranjivosti nastoji koristiti dobru komunikaciju i odbacuje prijetnje.

  • Koordinirano otkrivanje ranjivosti najbolje je kada svi sudionici razumiju da je cilj br. 1 pomoći korisnicima da se zaštite od sigurnosnih rizika, a cilj br. 2 riješiti sigurnosni problem.

  • Koordinirano otkrivanje ranjivosti odbacuje svaku vrstu prijetnje odmazdom, zastrašivanjem, suspenzijom, ukidanjem, ucjenom, teretom naknadnog postupanja ili okrivljavanjem žrtve.

Razumite da koordinirano otkrivanje ranjivosti može različitim ljudima značiti različite stvari.

  • Otkrivač i proizvođač mogu različito razumjeti koordinirano otkrivanje ranjivosti. Ta se razumijevanja možda ne podudaraju. Dobra vjera uključuje to da svi sudionici to razumiju.

  • Neki proizvođači objavljuju politike koordiniranog otkrivanja ranjivosti. One mogu biti korisne smjernice. Ako otkrivač odabere drugačiju vrstu koordiniranog otkrivanja ranjivosti ili drugačije razumije odgovorno otkrivanje, to je savršeno u redu.

Razumite da otkrivač obično čini uslugu izdavaču.

  • Otkrivaču obično ne treba ničije dopuštenje za objavu ranjivosti.

  • Informacije otkrivača obično pomažu izdavaču.

Provjera uspjeha

Nakon što je problem riješen, proizvođač mora provjeriti uspjeh.

  • Jesu li svi ljudi i procesi uspješno obradili otkrivanje? Ako jesu, dobro. Ako nisu, razmotrite naknadno istraživanje, kao što je analiza temeljnog uzroka (RCA), post-mortem izvješća, Ishikawa dijagrami ili uzročna analiza temeljena na teoriji sustava (CAST).

  • Jesu li svi neriješeni problemi trijažirani i praćeni?

  • Razumiju li proizvođač i otkrivač što činiti u sljedećim koracima? To je osobito važno ispravno učiniti u slučaju da uslijede dodatna koordinirana otkrivanja ranjivosti.

Smjernice

Smjernice za koordinirano otkrivanje ranjivosti mogu dolaziti iz mnogih područja, kao što su etički stručnjaci, pravni zagovornici, razumna očekivanja šire javnosti itd.

Ako tražite smjernice, mogu vas zanimati ova tri područja, opisana u nastavku.

  • Dobri Samaritanac

  • Dužnost spašavanja

  • Dužnost pažnje

Dobri Samaritanac

Wikipedija: Zakon o dobrom Samaritancu

Zakoni o dobrom Samaritancu nude pravnu zaštitu ljudima koji pružaju razumnu pomoć onima koji su, ili za koje vjeruju da jesu, ozlijeđeni, bolesni, u opasnosti ili na drugi način onesposobljeni. Zaštita je namijenjena smanjenju oklijevanja prolaznika da pomognu zbog straha od tužbe ili kaznenog progona.

Dužnost spašavanja

Wikipedija: Dužnost spašavanja

Dužnost spašavanja pojam je koji opisuje okolnost u kojoj se strana može smatrati odgovornom zbog toga što nije priskočila u pomoć drugoj strani u opasnosti. Dužnost spašavanja može imati moralna i/ili pravna područja.

Dužnost pažnje

Wikipedija: Dužnost pažnje

Dužnost pažnje obveza je poštivanja standarda razumne pažnje pri obavljanju bilo kojih radnji koje bi predvidljivo mogle naštetiti drugima. Dužnost pažnje može imati moralna i/ili pravna područja. Neki aspekti koje treba razmotriti su: predvidljivost štete ili ozljede, moguća veličina potencijalne štete ili ozljede, važnost ili društvena vrijednost djelatnosti kojom se tuženik bavi, korisnost postupanja za tuženika, izvedivost alternativnog postupanja, troškovi i tereti povezani s alternativnim postupanjem, relativna korisnost alternativnog postupanja i relativna sigurnost alternativnog postupanja.

Posebni slučajevi

Naši sigurnosni timovi vidjeli su širok raspon posebnih slučajeva.

Opisujemo ih ovdje kako bismo pomogli ljudima razumjeti gdje postoji širok raspon mišljenja o tome što je u redu, a što nije. Preporučujemo da svi sudionici o tome komuniciraju u dobroj vjeri.

Pristup informacijama drugih korisnika

Primjer: otkrijete da URL sadrži vaš korisnički ID i otkriva grešku te vjerujete da možete urediti URL i zamijeniti svoj korisnički ID drugim korisničkim ID-om.

  • Je li u redu da otkrivač to učini, primjerice s jedinim ciljem da otkrije utječe li to i na druge korisnike?

  • Je li važnije brzo razumjeti širinu rizika za sve korisnike nego zaštititi nekoliko korisnika čije podatke hakeri možda već mogu vidjeti?

  • Je li u redu da otkrivač to učini s onoliko korisnika koliko želi?

  • Je li u redu da otkrivač pokuša kontaktirati korisnike kako bi ih obavijestio da su pogođeni? Je li u redu ponuditi prijedloge za ublažavanje?

Uskraćivanje usluge

Primjer: otkrijete grešku koja slučajno suspendira vaš račun, primjerice aktiviranjem zaključavanja lozinke.

  • Smatra li se ovo napadom uskraćivanjem usluge?

Neželjena e-pošta

Primjer: pokušavate prijaviti sigurnosni problem ljudima u tvrtki za koje mislite da su relevantni, a do kojih dolazite istraživanjem na LinkedInu, Facebooku itd. ili korištenjem konvencija imenovanja kao što su „webmaster@example.com" ili „security@example.com".

  • Je li ovo u redu?

  • Smatra li se ovo neželjenom e-poštom?

  • Smatra li se ovo neovlaštenom e-poštom?

Isključene skupine

Primjer: pripadate isključenoj skupini, primjerice maloljetnik ste, nalazite se na sankcijskom popisu ili ste u zemlji s sankcijskog popisa.

  • Je li u redu da podnesete prijavu?

  • Je li u redu prijaviti anonimno?

  • Je li u redu namjerno promijeniti potencijalno identificirajuće podatke, primjerice da biste izbjegli isključenu skupinu, s ciljem da otkrivanje dopre do pravih ljudi?

Treće strane

Primjer: otkrijete da softver tvrtke ima grešku koja uključuje treću stranu, primjerice integraciju s drugim softverom ili drugom web-stranicom.

  • Je li u redu da obje strane prijavite sve informacije koje pronađete?

  • Je li potrebno napraviti dva različita odgovorna otkrivanja, primjerice jedno izvješće jednoj tvrtki, a drugo izvješće tvrtki treće strane, s ciljem ograničavanja informacija poslanih svakoj tvrtki?

  • Je li u redu da otkrivač poveže tvrtke jednu s drugom?

Ometajući softver

Primjer: dovoljno ste vješti da napišete virus za koji vjerujete da će vjerojatno pomoći korisnicima da se zaštite od sigurnosnog rizika, utvrde jesu li ugroženi ili otklone sigurnosni rizik.

  • Je li to u redu?

  • Je li u redu da otkrivač upućuje korisnike na ovakav softver i/ili na vodiče ili upute koje opisuju kako izraditi ovu vrstu softvera?

Koordinirano otkrivanje ranjivosti naspram odgovornog otkrivanja

Koordinirano otkrivanje ranjivosti preferirani je pojam.

  • Najvažniji aspekt je koordinacija između otkrivača i proizvođača.

Odgovorno otkrivanje zastarjeli je pojam.

  • Ljudi imaju različita viđenja onoga što znači biti odgovoran. Primjerice, neki zagovaraju da je odgovorno da otkrivač odmah obavijesti javnost bez obzira na bilo kakvu interakciju s proizvođačem, a neodgovorno provoditi koordinirano otkrivanje ranjivosti jer ono skriva informacije od javnosti.

Praćenje