Coordinated vulnerability disclosure
← Politike

CERT: Politika otkrivanja ranjivosti

Ranjivosti prijavljene CERT/CC-u bit će javno objavljene 45 dana nakon prvotne prijave, bez obzira na postojanje ili dostupnost zakrpa ili zaobilaznih rješenja pogođenih dobavljača. Olakotne okolnosti, kao što su aktivna eksploatacija, prijetnje osobito ozbiljne (ili trivijalne) prirode ili situacije koje zahtijevaju promjene u ustaljenom standardu, mogu rezultirati ranijom ili kasnijom objavom. Objave CERT/CC-a uključivat će zasluge prijavitelju osim ako prijavitelj ne zatraži drukčije. Obavijestit ćemo sve pogođene dobavljače o našim planovima objave i dogovarati alternativne rasporede objave s pogođenim dobavljačima kada je potrebno.

Cilj je ove politike uravnotežiti potrebu javnosti da bude informirana o sigurnosnim ranjivostima s potrebom dobavljača za vremenom za učinkovit odgovor. Konačna odluka o rasporedu objave temeljit će se na najboljem interesu zajednice u cjelini.

Ranjivosti koje su nam prijavljene proslijedit će se pogođenim dobavljačima čim je to praktično moguće nakon primitka prijave. Ime i kontakt-podaci prijavitelja bit će proslijeđeni pogođenim dobavljačima osim ako prijavitelj ne zatraži drukčije. Obavijestit ćemo prijavitelja o značajnim promjenama statusa svake ranjivosti koju je prijavio u mjeri u kojoj je to moguće bez otkrivanja informacija koje su nam povjerene u povjerenju.

Ranjivosti će se objavljivati u Vulnerability Notes.

Izvješća o ranjivostima za web-stranice vlade SAD-a bit će proslijeđena US-CERT-u radi koordinacije s vladom.

Često postavljana pitanja

P: Znači li to da CERT/CC prelazi na „potpuno otkrivanje" (full disclosure)?

O: Nećemo distribuirati exploite, ako to znači „full disclosure". Prema našem iskustvu, broj ljudi koji mogu imati koristi od dostupnosti exploita malen je u usporedbi s brojem ljudi koji stradaju zbog onih koji zlonamjerno koriste exploite. Međutim, objavljivat ćemo informacije o ranjivostima koje možda ranije nismo objavili. U granicama naših resursa objavit ćemo informacije o što većem broju ranjivosti.

P: Zašto ne 30 dana, ili 15 dana, ili odmah?

O: Smatramo da 45 dana može biti prilično težak rok za veliku organizaciju. Skraćivanje roka realno neće pomoći problemu. U odsutnosti dokaza o eksploataciji, neopravdano objavljivanje ranjivosti možda nije u najboljem interesu javne sigurnosti.

P: Ne bi li bilo bolje držati ranjivosti u tajnosti ako ne postoji dostupan popravak?

O: Ranjivosti se rutinski otkrivaju i objavljuju, često prije nego što su dobavljači imali pošteno priliku pružiti popravak, a objava često uključuje funkcionalne exploite. Prema našem iskustvu, ako nema odgovorne, kvalificirane objave informacija o ranjivostima, istraživači, programeri, administratori sustava i drugi IT stručnjaci koji otkriju ranjivosti često smatraju da nemaju drugog izbora nego informaciju učiniti javnom u pokušaju da primoraju dobavljače da se pozabave problemom.

P: Hoće li sve ranjivosti biti objavljene u roku od 45 dana?

O: Ne. Često mogu postojati okolnosti zbog kojih ćemo prilagoditi svoj raspored objave. Prijetnje koje su osobito ozbiljne ili za koje imamo dokaze o eksploataciji vjerojatno će nas navesti da skratimo raspored izdanja. Prijetnje koje zahtijevaju „teške" promjene (promjene standarda, promjene temeljnih komponenti operacijskog sustava) navest će nas da produljimo raspored objave. Možda nećemo objaviti svaku ranjivost koja nam se prijavi.

P: Hoćete li iznenaditi dobavljače objavama ranjivosti?

O: Ne. Prije javne objave u dobroj ćemo vjeri nastojati obavijestiti dobavljače o svojim namjerama.

P: Ako se dobavljač ne slaže s vašom procjenom problema, hoće li ta informacija biti dostupna?

O: Da. Tražimo i objavljujemo ovjerene izjave dobavljača te upućujemo na relevantne informacije dobavljača u vulnerability notes. Nećemo zadržavati informacije koje je dobavljač dostavio samo zato što se ne slažu s našom procjenom problema.

P: Tko dobiva informacije prije javne objave?

O: Općenito, informacije dajemo svakome tko može pridonijeti rješenju i s kim imamo odnos povjerenja, uključujući dobavljače (često i dobavljače čiji proizvodi nisu ranjivi), stručnjake iz zajednice, sponzore i stranice koje su dio nacionalne kritične infrastrukture, ako smatramo da su te stranice u opasnosti.

P: Objavljujete li svaku prijavljenu ranjivost?

O: Ne. Možemo, prema vlastitoj prosudbi, odbiti koordinirati ili objaviti izvješće o ranjivosti. Ta se odluka općenito temelji na opsegu i ozbiljnosti ranjivosti i našoj sposobnosti da dodamo vrijednost procesu koordinacije i objave. Bez obzira koordiniramo li ili objavljujemo, preporučujemo da prijavitelj u dobroj vjeri nastoji obavijestiti pogođenog dobavljača i surađivati izravno s njim prije javne objave.