NCSC.nl

1. Uvod

Društvo se sve više digitalizira. Danas gotovo svi procesi u nekom trenutku uključuju uporabu računala, od mobilnih telefona do specijaliziranog softvera. Iako ovaj razvoj stvara mnoge nove mogućnosti, ranjivosti u IT sustavima mogu imati velik učinak. Stoga se znanjem o tim ranjivostima treba učinkovito postupati.

Početkom 2013. brojne su organizacije počele objavljivati politiku o tome kako prijaviti ranjivosti. Nakon savjetovanja s tim stranama Nacionalni centar za kibernetičku sigurnost (NCSC) sažeo je razvoj u obliku „Smjernica za postizanje prakse odgovornog otkrivanja" („Leidraad om te komen tot een praktijk van Responsible Disclosure"; „Smjernice"). Tvrtke ovom politikom pokazuju da su otvorene za primanje vanjskih izvješća o ranjivostima, opisuju svoje preduvjete i daju obećanja. Taj proces stvorio je jasnoću i donekle sigurno okruženje za strane koje prijavljuju da istražuju i prijavljuju ranjivosti bez izravnog počinjenja kaznenog djela. Na sastanku EU-a na visokoj razini o kibernetičkoj sigurnosti 2016. 29 organizacija potvrdilo je važnost politike za postupanje s ranjivostima potpisivanjem Manifesta o koordiniranom otkrivanju ranjivosti1 koji su pokrenuli CIO Platform Netherlands i Rabobank u suradnji s NCSC-om.

Koordinirano otkrivanje ranjivosti (CVD) pokazalo se od velike važnosti za javne i privatne strane. One su u svakodnevnoj praksi jako ovisne o neometanom funkcioniranju informacijskih sustava. Prijave ranjivosti u njihovim sustavima pomogle su poboljšati sigurnost i kontinuitet sustava posljednjih godina, s jedne strane otklanjanjem ranjivosti, a s druge doprinosom općoj svijesti nizozemskih tvrtki o IT sigurnosti.

Posljednjih je godina postalo jasno da su strane koje prijavljuju spremne raditi unutar uvjeta politike CVD-a koju su izradile organizacije. Prijave strane koje prijavljuju podnose izravno ili neizravno organizacijama. Praksa odgovornog otkrivanja pokazala je da su dobronamjerne strane koje prijavljuju i ranjive organizacije uspjele surađivati i tako poduzeti sljedeći korak u povećanju sigurnosti mrežnih i informacijskih sustava.

Za ovu reviziju ponovno smo razgovarali sa širokom i raznolikom skupinom strana koje prijavljuju, privatnim i javnim stranama, kao i s Državnim odvjetništvom i Nacionalnom policijom. Ti su razgovori potvrdili postojeću praksu i doveli do dopuna i poboljšanja. Najvažnija nova točka pažnje je komunikacija između prijavitelja ranjivosti i organizacije, kao i s drugim stranama nakon što je ranjivost otklonjena.

Sljedeća poglavlja obrađuju definiciju CVD-a, gradivne elemente politike CVD-a i proces komunikacije.

Napomena: Prethodne Smjernice koristile su pojam „odgovorno otkrivanje" (responsible disclosure), koji je u to vrijeme bio uobičajen pojam za ovu praksu. U međuvremenu je postalo jasno da taj pojam stavlja preveliki naglasak na odgovornost strane koja prijavljuje, dok je osnovno načelo da strana koja prijavljuje i potencijalno ranjiva organizacija trebaju biti ravnopravni partneri u dijalogu. Taj osjećaj bolje izražava danas uobičajeni pojam „Koordinirano otkrivanje ranjivosti" (CVD), koji je ujedno naziv korišten u standardima ISO 29147 i 30111 o tom procesu.

2. Koordinirana ranjivost

Tijekom proteklih 30 godina koristile su se različite metode za podizanje svijesti o ranjivostima u IT sustavima. Primjeri uključuju:

„Potpuno otkrivanje" (Full Disclosure), potpuno javno objavljivanje ranjivosti;
„Neotkrivanje" (Non-disclosure), prodaja ili vlastito korištenje ranjivosti;
„Koordinirano otkrivanje ranjivosti" (CVD), koordinirano otkrivanje ranjivosti.

Potonja je praksa izričito preferirana.

IT zajednica pokazala je veliku spremnost dijeliti znanje i iskustvo. Traženje suradnje s tom zajednicom stoga može pomoći poboljšanju ukupne sigurnosti sustava.

Cilj koordiniranog otkrivanja ranjivosti

Cilj CVD-a je doprinijeti sigurnosti IT sustava dijeljenjem znanja o ranjivostima. U CVD-u se znanje dijeli s jednom ili više potencijalno ranjivih organizacija kako bi se u suradnji sa stranom koja prijavljuje došlo do zajedničkog rješenja za pronađenu ranjivost. Važno je da pogođene organizacije imaju dovoljno vremena za otklanjanje svih ranjivosti ili zaštitu sustava kako bi se gubitak ili šteta ograničili ili spriječili koliko god je moguće. Kamen temeljac procesa je otkrivanje znanja o ranjivostima nakon otklanjanja.

U CVD-u je ključno da se sve strane pridržavaju dogovora o tome kako prijaviti ranjivost i kako postupati s njom. Pomaže ako organizacija unaprijed objavi preduvjete, kao što su koji su sustavi u opsegu i koja se vrsta istraživanja može provoditi. Važno načelo ovih preduvjeta je da organizacija u pravilu neće prijaviti stranu koja prijavljuje niti poduzeti druge pravne korake ako se istraživanje i prijava provode unutar zadanih uvjeta. Ove Smjernice daju organizacijama upute za izradu vlastite politike koja utjelovljuje načela CVD-a.

Kao što naziv govori, u CVD-u je središnje da se organizacija i strana koja prijavljuje međusobno koordiniraju. U tom pogledu treba biti što manje veza između osobe koja prijavljuje ranjivost i osobe u organizaciji koja je odgovorna za rješavanje problema.

Može biti važno istodobno obavijestiti više strana ako ranjivost pogađa mnoge sustave. U tom slučaju NCSC ili druge strane unutar sigurnosne zajednice mogu podržati proces CVD-a u koordinacijskoj ulozi.

3. Područja odgovornosti

Cilj provođenja politike CVD-a je da strane koje prijavljuju i organizacija rade zajedno na smanjenju ranjivosti u IT sustavima. Provedbu ove politike treba promatrati kao dopunu postojećim mjerama za informacijsku sigurnost. Različiti akteri imaju svaki svoju ulogu i odgovornosti. One su detaljnije objašnjene u nastavku.

Organizacija koja posjeduje/upravlja sustavom

Organizacija koja posjeduje/upravlja ili isporučuje sustav primarno je odgovorna za sigurnost tog sustava. Drugim riječima, organizacija je također odgovorna za postupanje po prijavi ranjivosti.

Organizacija može odabrati izraditi vlastitu politiku CVD-a koristeći ove Smjernice i komunicirati tu politiku potencijalnim stranama koje prijavljuju. Objavom politike CVD-a organizacije pokazuju spremnost za primanje informacija o ranjivostima.

Strana koja uspostavlja politiku CVD-a može se obvezati na načelo da neće podnijeti prijavu policiji ako se poštuju pravila koja vrijede za politiku.

Nakon što strana koja prijavljuje prijavi ranjivost, odgovornost je na organizaciji. Važno je shvatiti da je strana koja prijavljuje često netko izvan organizacije. Ta strana nema izravan uvid u interne procese koji se mogu pokrenuti nakon prijave ranjivosti. Stoga će strane koje prijavljuju cijeniti da ih se informira o razvoju događaja u rješavanju ranjivosti. Ta stalna komunikacija također je važna za stvaranje ispravnih očekivanja o daljnjem postupanju i pravodobnosti rješenja.

Strana koja prijavljuje ranjivost

Strana koja prijavljuje na ovaj je ili onaj način uspjela prepoznati ranjivost i želi doprinijeti sigurnosti IT sustava tako što će se ranjivost otkloniti i eventualno kasnije objaviti. Strana koja prijavljuje možda je nešto otkrila pasivnim promatranjem ili aktivnim testiranjem IT sustava. Naravno, ta strana odgovorna je za vlastite postupke i način na koji je otkrila ranjivost. Odgovornost je strane koja prijavljuje da bude svjesna uvjeta koje je organizacija postavila u svojoj politici CVD-a. Većina vlada i tvrtki objavila je svoje politike CVD-a na svojim web-stranicama.

Pronalaženje ranjivosti ipak može uključivati kršenje zakona. U kontekstu CVD-a organizacija i strana koja prijavljuje mogu se dogovoriti da za sva kaznena djela neće podnijeti prijavu. U tom pogledu vodeće je načelo politika CVD-a koju je objavila organizacija. Strane se također mogu dogovoriti da neće pokretati građanske postupke.

Ako postoji sumnja da je strana koja prijavljuje prekršila zakon, politika CVD-a prije svega može pomoći spriječiti da se prijavitelja prijavi tijelima. Taj postupak u potpunosti ovisi o preduvjetima politike koje organizacija zahtijeva od strane koja prijavljuje i o tome je li to pridržavanje postignuto, potencijalno uz odgovarajuće obećanje da neće podnijeti kaznenu prijavu dok strana djeluje unutar uvjeta politike. Ako se podnese prijava policiji, postojanje politike CVD-a i pridržavanje te politike relevantna je okolnost u Nizozemskoj, koju će državni odvjetnik uzeti u obzir pri odlučivanju o tome hoće li pokrenuti kazneni progon i/ili podići optužnicu. U pravilu policija i Državno odvjetništvo (OM) neće pokrenuti kaznenu istragu ako se strana koja prijavljuje jasno pridržavala pravila politike CVD-a dotične organizacije. Međutim, Državno odvjetništvo i policija mogu dalje istražiti slučaj ako postoje naznake da je strana koja prijavljuje svjesno ili nesvjesno otišla predaleko u svojim postupcima i/ili se nije pridržavala politike CVD-a. Na temelju te istrage Državno odvjetništvo može odlučiti hoće li podići optužnicu.

Državno odvjetništvo objavilo je dopis o politici u kojem se konkretnije bavi aspektima koji su važni pri donošenju odluke o istrazi i/ili kaznenom progonu. Primjerice, je li postupanje strane koja prijavljuje služilo važnom javnom interesu, je li strana postupila nerazmjerno i je li možda mogla postupiti na drugi, manje drastičan način. Relevantni dopis o politici dodatno razrađuje te aspekte.2 Relevantna sudska praksa od 2013.3 pokazuje da se ti aspekti također uzimaju u obzir na sudu ako organizacija nema politiku CVD-a.

4. Gradivni elementi procesa koordiniranog otkrivanja ranjivosti

U nastavku su navedeni gradivni elementi za oblikovanje procesa CVD-a za organizaciju, prijavitelja i NCSC.

Organizacija

Promicanje CVD-a počinje s organizacijom koja posjeduje IT sustave ili koja isporučuje IT proizvod/sustav. Naposljetku, ta je organizacija primarno odgovorna za informacijsku sigurnost tih IT sustava. Kako bi učinkovito surađivala s raznim stranama na rješavanju ranjivosti, organizacija može odlučiti izraditi i objaviti politiku CVD-a. Izrada vlastite politike CVD-a omogućuje organizaciji da pokaže kako postupa s prijavama ranjivosti. Na taj način organizacija može i oblikovati način na koji želi primati obavijesti. Takav proces može se organizirati na sljedeći način:

Organizacija utvrđuje i objavljuje politiku CVD-a.
U toj politici organizacija daje jasna pravila za istraživanje koje strane koje prijavljuju mogu provoditi, kao što su koje su tehnike dopuštene i koji su sustavi u opsegu ili izvan njega.
Organizacija strani koja prijavljuje olakšava podnošenje prijave. Jedna mogućnost je uporaba standardizirane metode prijave; primjerice, posebna e-adresa ili mrežni obrazac. Osim toga, organizacija može odlučiti hoće li prihvaćati anonimne prijave.
Organizacija rezervira interne kapacitete i uspostavlja proces kako bi adekvatno odgovarala na prijave. Preporučljivo je uspostaviti proces kojim se sve pronađene ranjivosti mogu adekvatno otkloniti. U tom pogledu podrijetlo prijave nije bitno. Ranjivost je mogao prepoznati i interni zaposlenik ili primjerice tijekom testa.
Praktično iskustvo pokazuje da će nakon prvotne objave politike CVD-a biti veći interes za prijavu ranjivosti organizaciji. Organizacija bi to trebala uzeti u obzir pri planiranju (dodatnih) kapaciteta.
Kada organizacija primi prijavu ranjivosti, osigurava da prijava što prije stigne do odjela koji je najpogodniji da je procijeni i postupi po njoj.
Organizacija strani koja prijavljuje šalje potvrdu o primitku prijave, po mogućnosti digitalno potpisanu radi isticanja prioriteta.
Nakon toga organizacija će stupiti u savjetovanje sa stranom koja prijavljuje kako bi utvrdili rok unutar kojeg će doći do eventualne objave. Taj će rok uvelike ovisiti o prirodi ranjivosti i vrsti sustava.
Kao smjernica, za softverske ranjivosti često se koristi rok od otprilike 60 dana. Otklanjanje ranjivosti u hardveru teže je postići; može se koristiti smjernica od 6 mjeseci.
Možda je poželjno produljiti ili skratiti taj rok uzajamnim dogovorom ovisno o tome koliko IT sustava ovisi o sustavu za koji je ranjivost prijavljena ili je li ranjivost lakše ili teže riješiti.
Ranjivost se može pokazati teškom ili nemogućom za rješavanje ili rješavanje može biti vrlo skupo. U takvim slučajevima organizacija se može dogovoriti da ranjivost smatra prihvaćenim rizikom i da je neće otklanjati, eventualno u savjetovanju sa stranom koja prijavljuje.
Organizacija će strani koja prijavljuje davati informacije o razvoju procesa.
Osim toga, organizacija može ponuditi da strana koja prijavljuje bude javno priznata za objavu ranjivosti. Moguće je odabrati i zajedničko otkrivanje prema van.
Poželjno je nagraditi stranu koja prijavljuje za prijavu ranjivosti u sustavima ako se strana pridržavala pravila politike CVD-a. Iznos nagrade može ovisiti o kvaliteti prijave. Nagrađivanje strane koja prijavljuje može stvoriti bolji odnos između te strane i organizacije, kao i povećati spremnost ljudi da podnose nove prijave u skladu s politikom CVD-a.
U savjetovanju sa stranom koja prijavljuje organizacija se može dogovoriti da obavijesti širu IT zajednicu o ranjivosti ako je vjerojatno da je ranjivost prisutna i na drugim mjestima.
U svojoj politici CVD-a organizacija se može obvezati na načelo da neće podnijeti prijavu policiji ako se strana koja prijavljuje pridržavala pravila navedenih u politici.

Strana koja prijavljuje

Strana koja prijavljuje ključ je uspješnog procesa CVD-a. Ta je strana na ovaj ili onaj način uspjela prepoznati ranjivost i želi doprinijeti sigurnosti IT sustava tako što će organizacija otkloniti ranjivost i ona će biti objavljena. Time strane koje prijavljuju priznaju da mogu dati važan doprinos društvu otkrivajući ranjivosti na koordiniran način. Kako bi se postigao uspješan proces CVD-a, sljedeći su gradivni elementi važni za stranu koja prijavljuje:

Strana koja prijavljuje odgovorna je za vlastite postupke i mora poštovati načela proporcionalnosti i supsidijarnosti pri istraživanju i prijavi ranjivosti. Drugim riječima, strana koja prijavljuje ne bi trebala činiti više nego što je potrebno za demonstraciju ranjivosti i uvijek bi trebala prvo prijaviti ranjivost vlasniku sustava/informacija.
Strana koja prijavljuje mora prijaviti problem što je prije moguće kako bi spriječila zlonamjerne strane da otkriju ranjivost i iskoriste je.
Strana koja prijavljuje mora prijavu organizaciji podnijeti na povjerljiv način kako bi spriječila da drugi dobiju pristup tim informacijama.
Strana koja prijavljuje ne smije podnošenje prijave ili daljnje pružanje informacija uvjetovati nagradom. Inicijativa za dodjelu nagrade u slučaju prijave leži na organizaciji koja je prima, a koja može utvrditi preduvjete u svojoj objavljenoj politici.
Strana koja prijavljuje i organizacija sklapaju jasne dogovore o otkrivanju ranjivosti. Ako je uključeno više organizacija, osnovno je načelo da se ranjivosti mogu objaviti samo ako se sve organizacije s tim slažu. Preporučljivo je sklopiti te dogovore u ranoj fazi.
Strana koja prijavljuje i uključena organizacija mogu se dogovoriti o obavještavanju šire IT zajednice. Primjerice, ta se situacija može odnositi na ranjivost (bilo već poznatu ili ne) za koju je poznato da je prisutna na više od jednog mjesta. Nacionalni centar za kibernetičku sigurnost (NCSC) može biti uključen u taj proces radi podrške ciljnim skupinama središnje vlade i kritične infrastrukture ili radi obavještavanja više strana u slučaju ranjivosti koja pogađa mnoge sustave.

NCSC

Proces CVD-a prvenstveno je stvar organizacija i strana koje prijavljuju. Ipak, NCSC će poticati uporabu procesa CVD-a. U savjetovanju sa stranom koja prijavljuje i organizacijom NCSC također može biti uključen u dijeljenje informacija o ranjivosti sa svojom ciljnom skupinom radi ograničavanja daljnjih sigurnosnih rizika koji proizlaze iz ranjivosti.

Ako prijava ranjivosti ne ide onako kako strana koja prijavljuje očekuje ili ako radije ne bi prijavila ranjivost izravno organizaciji, može se obratiti NCSC-u.4 U tom slučaju NCSC može djelovati kao posrednik kada je to potrebno.

Vlasnik IT sustava u svakom je trenutku odgovoran za sigurnost sustava. NCSC ne može ni prisiliti vlasnika sustava da otkloni ranjivost, ni jamčiti da vlasnik neće poduzeti pravne radnje protiv strane koja prijavljuje. Stoga strana koja prijavljuje mora uzeti u obzir prethodno navedene gradivne elemente za organizacije i strane koje prijavljuju pri traženju i prijavi ranjivosti. Strana koja prijavljuje može očekivati da će NCSC učiniti sve što je u njegovoj moći da se ranjivost otkloni i da će prijavu tretirati povjerljivo. NCSC ne dijeli nikakve osobne podatke osim ako je na to zakonski obvezan.

Ako je moguće, NCSC će informacije dobivene o ranjivostima koristiti u savjetovanju s organizacijama i stranama koje prijavljuju za daljnje dijeljenje znanja s IT zajednicom. Primjerice, to može učiniti objavom dijela informacija, pisanjem ili ažuriranjem informativnog lista ili bijele knjige (white paper) ili obavještavanjem određenih organizacija.

Ovisno o dotičnoj organizaciji i prirodi utvrđene ranjivosti NCSC će nastojati skrenuti pozornost dotične organizacije na ranjivost. Međutim, vlasnik dotičnog IT sustava ostaje odgovoran za sustav.
Gdje je moguće i potrebno, NCSC će dotičnoj organizaciji dati savjet kako otkloniti ranjivost.
NCSC će prijave tretirati povjerljivo i neće dijeliti osobne podatke strana koje prijavljuju ni organizacije koja ih prima bez pristanka, osim ako to ne proizlazi iz zakonske obveze.
Gdje god je moguće, NCSC će stranu koja prijavljuje obavještavati o razvoju kontakta s organizacijom i otklanjanja ranjivosti.
U slučajevima kada se prijava podnese NCSC-u, NCSC će nastojati povezati stranu koja prijavljuje ili potencijalnu stranu koja prijavljuje i organizaciju.

Ako je strana koja prijavljuje pronašla primjerice ranjivost u softverskom proizvodu ili ranjivost koja pogađa mnoge različite sustave, strana koja prijavljuje može zatražiti od NCSC-a da koordinira otklanjanje i otkrivanje ranjivosti.

Zajedno sa stranom koja prijavljuje, partnerima, razvojnim programerima i/ili razvojnim programerima softvera i drugim sigurnosnim timovima NCSC će pomoći u analizi, otklanjanju ili osiguravanju otklanjanja, koordinaciji i kontroliranom otkrivanju ranjivosti. Cijeli taj proces odvija se u bliskom savjetovanju sa stranom koja prijavljuje, koja je pronašla ranjivost.

Politika CVD-a nastoji uspostaviti ravnotežu između važnosti otkrivanja ranjivosti što je prije moguće kako bi se mogle poduzeti mjere i važnosti da razvojni programeri, kao i dobavljači, imaju dovoljno vremena za otklanjanje ranjivosti. Za taj proces NCSC koristi standardni rok od 60 dana između prijave i javnog otkrivanja. Međutim, mogu postojati okolnosti u kojima se može odlučiti produljiti ili skratiti taj rok.

NCSC će informacije o ranjivosti dijeliti s trećim stranama tek nakon savjetovanja sa stranom koja prijavljuje. U tom je kontekstu ključno da NCSC surađuje i stoga dijeli informacije o ranjivosti s dionicima kako bi ranjivost otkrio na koordiniran način. NCSC će pritom osigurati da prave strane mogu raditi na otklanjanju ranjivosti, pomoći ograničiti svaki gubitak ili štetu i pomoći skrenuti pozornost na pronađenu ranjivost.

5. Komunikacija i proces otkrivanja

Pet godina prakse pokazalo je da je jasna komunikacija kamen temeljac uspješnog procesa CVD-a. Postoje točke na koje treba obratiti pozornost prije, tijekom i nakon procesa CVD-a.

Komunikacija o procesu otkrivanja

Objava politike CVD-a prvi je korak u komunikaciji o procesu. Javnom objavom politike strane koje prijavljuju pozivaju se da obavijeste organizaciju o svim pronađenim ranjivostima.

S jedne strane, organizacija može utvrditi uvjete za istraživanje koje se provodi radi otkrivanja ranjivosti i način traženja kontakta. S druge strane, organizacija se može obvezati na načelo da neće podnijeti prijavu policiji ako se pravila politike poštuju. Taj pristup štiti položaj strane koja prijavljuje.

Politika CVD-a može se naknadno promijeniti ili ažurirati. Važno je biti jasan o promjenama u tom pogledu. Strane koje prijavljuju imaju interes znati što je promijenjeno i kada. Primjerice, promjene se mogu pojasniti navođenjem datuma objave na početku politike CVD-a, opisom sažetka promjena ispod politike CVD-a ili vođenjem arhive starih verzija politike CVD-a.

Politika CVD-a može dati smjernice o tome kako komunicirati tijekom procesa, primjerice navođenjem redovitih ažuriranja putem e-pošte ili web-portala. Osim toga, politika CVD-a može opisati kako se prijavitelja može priznati spominjanjem u ažuriranju, upisom u dvoranu slavnih (hall of fame) ili bilo kojim drugim oblikom nagrade.

Komunikacija tijekom procesa otkrivanja

Strana koja prijavljuje pokreće proces CVD-a slanjem poruke organizaciji. U toj poruci strana koja prijavljuje jasno opisuje otkrivenu ranjivost. Važni elementi su IP adresa ili URL pogođenog sustava i koraci potrebni za reprodukciju ranjivosti.

Za organizaciju je važno jasno komunicirati sa stranom koja prijavljuje kako bi očekivanja o procesu bila jasna.

To može već učiniti slanjem potvrde o primitku (automatske ili druge) koja sadrži naznaku roka unutar kojeg će biti poslan prvi ili sljedeći sadržajni odgovor.

Moguće je i ostaviti taj rok otvorenim te dati prvu naznaku roka nakon procjene sadržaja prijave. Preporučljivo je što prije biti jasan o roku unutar kojeg se rješenje može postići. Na taj način prijavitelj zna kada može očekivati ishod.

U nekim je slučajevima moguće da je datum objave već jasan strani koja prijavljuje; primjerice zbog prezentacije na konferenciji ili zato što je strana koja prijavljuje utvrdila vlastiti rok. U tom je slučaju i dalje važno da strana koja prijavljuje jasno priopći taj vremenski okvir, navede ga što je ranije moguće i bude jasna o mogućnosti/nemogućnosti odgode tog datuma.

Strana koja prijavljuje često je netko izvan organizacije koji nema uvid u interne procese koje prijava može pokrenuti. Organizacije mogu stranu koja prijavljuje informirati o razvoju procesa redovitim ažuriranjima. Taj pristup strani koja prijavljuje daje do znanja da se radi na rješenju. Po potrebi organizacija može zatražiti pojašnjenje ili testiranje rješenja tijekom procesa.

Ako organizacija ne može ispuniti prvotni rok za rješavanje, o odgodi se može razgovarati s prijaviteljem. Redovita komunikacija može tu situaciju objasniti prijavitelju u ranijoj fazi.

Glavna namjera CVD-a je ublažiti ranjivost, ali „potpuno otkrivanje" ranjivosti uvijek je opcija strani koja prijavljuje ako smatra da će proces trajati predugo. Ta je mjera poslovična „velika batina" koja stoji na raspolaganju strani koja prijavljuje. Naravno, ta se situacija mora što je više moguće spriječiti.

Komunikacija nakon procesa otkrivanja

Postoje mnogi mogući razlozi zbog kojih strana koja prijavljuje traži ranjivosti i zatim ih prijavljuje organizacijama putem procesa CVD-a. Za velik broj strana koje prijavljuju važan poticaj je (javno) priznanje.

Strane koje prijavljuju dobivaju javno priznanje zahvalom u ažuriranju ili upisom u dvoranu slavnih (hall of fame). Međutim, potreba za javnim priznanjem ne odnosi se na sve strane koje prijavljuju; neke zapravo ne žele biti poznate javnosti. U slučaju komunikacije organizacije stoga je preporučljivo dobiti pristanak strane koja prijavljuje za njezino imenovanje.

Osim toga, strane koje prijavljuju mogu odlučiti komunicirati o prijavi nakon završetka procesa CVD-a. Primjerice, strana koja prijavljuje može opisati proces otkrivanja ili upozoriti druge na ranjivost. Prijavitelj može odlučiti poslati objavu organizaciji u informativne svrhe. Budući da je proces CVD-a u pravilu završen nakon uklanjanja ranjivosti, strana koja prijavljuje potom je slobodna komunicirati o njoj, osim ako su u politici ili tijekom procesa dogovoreni dodatni uvjeti.

Popis

Komunikacija o procesu otkrivanja

Objava politike CVD-a na web-stranici
Jasnoća o ograničenjima (vidi poglavlje 6 za različite pristupe)
Ograničenja u istražnim metodama
Smjernice o komunikaciji
Smjernice o mogućim nagradama: dvorana slavnih (hall of fame), financijska nagrada, majica itd.
Jasnoća o svim ažuriranjima politike CVD-a, uključujući datum promjena

Komunikacija tijekom procesa otkrivanja

Prijavitelj kontaktira organizaciju o otkrivenoj ranjivosti.
Organizacija upravlja očekivanjima, primjerice vremenom odgovora za prvi tehnički odgovor
Organizacija i prijavitelj međusobno pojašnjavaju očekivani rok rješavanja
Organizacija često daje (procesno) ažuriranje
Po potrebi prijavitelj i organizacija razgovaraju o kontaktiranju drugih relevantnih organizacija

Komunikacija nakon procesa otkrivanja

Razgovor o (javnom) priznanju i nagradi prijavitelja
Dogovor o tome kako će se objaviti informacije o ranjivosti, primjerice faza istraživanja ili obavještavanje drugih organizacija

6. Primjeri politike koordiniranog otkrivanja ranjivosti

Postoje mnogi različiti oblici tekstova politika o koordiniranom otkrivanju ranjivosti. Budući da objavljena politika CVD-a služi kao putokaz potencijalnim stranama koje prijavljuju, osigurajte da je oblik te politike u skladu s politikom i strategijom organizacije.

Sljedeći su elementi važni u politici CVD-a:

način kontakta za sigurnu komunikaciju;
preduvjeti za strane koje prijavljuju;
jasna očekivanja o postupanju s prijavom;
način nagrađivanja prijave;
broj verzije i datum posljednje revizije.

U nastavku su tri primjera: mnoge organizacije u Nizozemskoj preuzele su osnovni primjer ResponsibleDisclosure.nl. Druge organizacije uključuju dodatne preduvjete, vidi politiku Fox IT-a. Ostale organizacije primjenjuju slobodniji format kako bi se prilagodile svojoj ciljnoj publici, vidi politiku Bits of Freedom.

Primjer: ResponsibleDisclosure.nl

Ovaj tekst napisala je Floor Terra i objavljen je pod licencom Creative Commons Imenovanje 3.0 neprilagođeno (Attribution 3.0 Unported).

U tvrtki Acme Corporation sigurnost naših sustava smatramo najvažnijim prioritetom. No koliko god truda ulagali u sigurnost sustava, ranjivosti i dalje mogu postojati.

Ako otkrijete ranjivost, željeli bismo znati za nju kako bismo poduzeli korake da je otklonimo što je brže moguće.

Željeli bismo vas zamoliti da nam pomognete bolje zaštititi naše klijente i naše sustave.

Molimo učinite sljedeće:

Pošaljite svoje nalaze e-poštom na cert@example.com. Šifrirajte svoje nalaze našim PGP ključem kako ta kritična informacija ne bi dospjela u pogrešne ruke,
Ne iskorištavajte otkrivenu ranjivost ili problem, primjerice preuzimanjem više podataka nego što je potrebno za demonstraciju ranjivosti ili brisanjem ili izmjenom tuđih podataka,
Ne otkrivajte problem drugima dok ne bude riješen,
Ne koristite napade na fizičku sigurnost, društveni inženjering, distribuirano uskraćivanje usluge, neželjenu poštu ni aplikacije trećih strana, i
Dajte dovoljno informacija za reprodukciju problema kako bismo ga mogli riješiti što je brže moguće. Obično su dovoljni IP adresa ili URL pogođenog sustava i opis ranjivosti, no složene ranjivosti mogu zahtijevati dodatno objašnjenje.

Što obećavamo:

Odgovorit ćemo na vaše izvješće u roku od 3 radna dana s našom procjenom izvješća i očekivanim datumom rješenja,
Ako ste slijedili gornje upute, nećemo poduzeti nikakve pravne radnje protiv vas u vezi s izvješćem,
Vaše ćemo izvješće obraditi uz strogu povjerljivost i nećemo prosljeđivati vaše osobne podatke trećim stranama bez vašeg dopuštenja,
Obavještavat ćemo vas o napretku prema rješenju problema,
U javnim informacijama o prijavljenom problemu navest ćemo vaše ime kao otkrivača problema (osim ako ne želite drukčije), i
Kao znak zahvalnosti za vašu pomoć nudimo nagradu za svako izvješće o sigurnosnom problemu koji nam još nije bio poznat. Iznos nagrade odredit će se na temelju ozbiljnosti curenja i kvalitete izvješća. Minimalna nagrada bit će poklon-bon od 50 €.

Nastojimo sve probleme riješiti što je brže moguće i željeli bismo imati aktivnu ulogu u konačnoj objavi o problemu nakon što bude riješen.

Primjer: Fox-IT

U tvrtki Fox-IT sigurnost naših sustava, naše mreže i naših proizvoda smatramo od najveće važnosti. Unatoč velikoj pažnji koju posvećujemo sigurnosti, slabe točke i dalje mogu postojati. Ako ste pronašli takvu slabost, željeli bismo čuti za nju što je prije moguće kako bismo što brže poduzeli odgovarajuće mjere.

Slabe točke mogu se otkriti na dva načina: možete slučajno naići na nešto tijekom uobičajene uporabe digitalnog okruženja ili možete izričito nastojati ih pronaći.

Naša politika odgovornog otkrivanja nije poziv na aktivno skeniranje naše poslovne mreže radi otkrivanja slabih točaka. Svoju poslovnu mrežu nadziremo sami. To znači da postoji velika šansa da će se skeniranje otkriti te da će naš Sigurnosno-operativni centar (SOC) provesti istragu, što bi moglo rezultirati nepotrebnim troškovima. Pozvani ste, međutim, aktivno tražiti ranjivosti u našim proizvodima u izvanmrežnom, neproizvodnom okruženju i prijaviti nam svoje nalaze. Naša odgovornost prema našim klijentima znači da nam namjera nije poticati pokušaje hakiranja njihove infrastrukture; no željeli bismo čuti od vas što je prije moguće ako se pronađu ranjivosti, kako bismo ih mogli primjereno riješiti.

Željeli bismo surađivati s vama kako bismo bolje mogli zaštititi naše klijente i naše sustave.

Molimo vas da:

Svoje nalaze što je prije moguće pošaljete e-poštom na security-alert@fox-it.com.
Ne zlorabite ranjivost; primjerice preuzimanjem, uređivanjem ili brisanjem podataka. Vaše ćemo izvješće uvijek shvatiti ozbiljno i istražiti svaku sumnju na ranjivost, čak i bez dokaza.
Ne dijelite problem s drugima dok ne bude riješen.
Ne koristite napade na fizičku sigurnost, društveni inženjering ni hakerske alate, kao što su skeneri ranjivosti.
Navedete dovoljno informacija da se problem može reproducirati kako bismo ga mogli riješiti što je brže moguće. Obično su dovoljni IP adresa ili URL pogođenog sustava i opis ranjivosti, iako za složenije ranjivosti mogu biti potrebne dodatne informacije.

Što obećavamo:

Odgovorit ćemo na vaše izvješće u roku od tri radna dana s našom procjenom izvješća i očekivanim datumom rješenja.
Vaše ćemo izvješće obraditi povjerljivo i nećemo dijeliti vaše osobne podatke s trećim stranama bez vašeg dopuštenja. Iznimka su policija i pravosuđe u slučaju kaznenog progona ili ako se informacije zatraže.
Obavještavat ćemo vas o napretku rješavanja problema.
U komunikaciji o prijavljenom problemu navest ćemo vaše ime kao stranu koja je otkrila problem, ako to želite.
Nažalost, nije moguće unaprijed jamčiti da protiv vas neće biti poduzete pravne radnje. Nadamo se da ćemo moći razmotriti svaku situaciju zasebno. Smatramo se moralno obveznima prijaviti vas ako sumnjamo da se slabost ili podaci zlorabe ili da ste podijelili znanje o slabosti s drugima. Možete biti sigurni da slučajno otkriće u našem mrežnom okruženju neće dovesti do kaznenog progona.
Kao zahvalu za vašu pomoć nudimo nagradu za svako izvješće o sigurnosnom problemu koji nam nije poznat. Vrijednost nagrade određujemo na temelju ozbiljnosti povrede i kvalitete izvješća.

Nastojimo sve probleme riješiti što je brže moguće, obavještavati sve uključene strane i željeli bismo sudjelovati u svakoj objavi o problemu nakon što bude riješen.

Primjer: Bits of Freedom

Naša ovisnost o digitalnoj infrastrukturi stalno raste. To vrijedi za društvo u cjelini, ali i za nas same. Stoga smatramo da se vlade i organizacije (uključujući našu) trebaju snažno posvetiti zaštiti naše digitalne infrastrukture. Svjesni smo da unatoč našim najboljim namjerama i najvećoj pažnji u našim sustavima mogu postojati ranjivosti. Ako pronađete neku od tih slabosti, rado bismo čuli od vas kako bismo mogli riješiti problem.

Što očekujemo od vas

Kada istražujete jedan od naših sustava, imajte na umu proporcionalnost napada. Nema potrebe demonstrirati da kada našu web-stranicu izložite najvećem DDoS napadu u povijesti interneta, stranica može postati nedostupna. To znamo. Također razumijemo da ako buldožerom uđete u naš ured, vjerojatno ćete moći zgrabiti jedno od naših prijenosnih računala.
Ovo načelo proporcionalnosti relevantno je i pri demonstraciji same ranjivosti. Ne biste trebali pregledavati ni mijenjati više podataka nego što je strogo nužno za potvrdu valjanosti vašeg nalaza. Primjerice, ako možete izmijeniti našu početnu stranicu, samo joj dodajte jednu nekontroverznu riječ umjesto da preuzmete cijelu stranicu. Ako možete dobiti pristup bazi podataka, dovoljno je pokazati nam popis tablica u njoj ili možda prvi zapis u jednoj od tih tablica.
Ranjivost u jednom od naših sustava treba prijaviti što je prije moguće slanjem e-pošte na security@bof.nl. Poželjno je da šifrirate poruku pomoću OpenPGP-a. Molimo navedite dovoljno informacija da možemo reproducirati i istražiti problem.
Javni OpenPGP ključ za security@bof.nl
Nećete dijeliti svoje znanje o ranjivosti s drugim stranama dok se nismo pozabavili problemom i dok smo još u razumnom roku od trenutka kada ste prijavili problem.
Izbrisat ćete sve povjerljive informacije koje ste dobili tijekom istrage čim otklonimo ranjivost.

Što možete očekivati od nas

Odgovorit ćemo na vaše izvješće u roku od tri dana na detaljan način. Uključit ćemo procjenu vremena koje će nam trebati da se pozabavimo problemom. Naravno, redovito ćemo vas obavještavati o našem napretku.
Ranjivost ćemo otkloniti što je prije moguće. I ovdje je proporcionalnost važna: vrijeme potrebno za popravak ranjivosti ovisi o nekoliko čimbenika, među kojima su ozbiljnost i složenost predmetnog problema.
Kada slijedite ovdje utvrđene smjernice, nećemo poduzeti pravne radnje protiv vas u vezi s vašim izvješćem.
Važno nam je priznati vam ono što ste učinili - ako to želite. Vaše ćemo ime spomenuti u objavi o ranjivosti samo ako se s tim složite.
Kao zahvalu za pomoć u boljoj zaštiti naših sustava, željeli bismo nagraditi svako izvješće o ranjivosti koja nam u to vrijeme nije bila poznata. Nagrada će ovisiti o ozbiljnosti ranjivosti i kvaliteti izvješća.

Ako pronađete ranjivost u softveru treće strane koji koristimo i ta je ranjivost obuhvaćena programom nagrađivanja za greške (bug bounty), nećemo pokušati zatražiti tu nagradu; vi biste trebali.