Coordinated vulnerability disclosure
← Szabályzatok

CERT: sebezhetőség-közzétételi szabályzat

A CERT/CC-nek jelentett sebezhetőségeket a kezdeti jelentés után 45 nappal nyilvánosságra hozzuk, függetlenül attól, hogy az érintett gyártóktól léteznek-e vagy elérhetők-e javítások vagy kerülő megoldások. Enyhítő körülmények, például aktív kihasználás, különösen súlyos (vagy jelentéktelen) természetű fenyegetések, vagy egy kialakult szabvány módosítását igénylő helyzetek korábbi vagy későbbi közzétételt eredményezhetnek. A CERT/CC által végzett közzétételek tartalmazzák a bejelentő elismerését, hacsak a bejelentő másként nem kéri. Tájékoztatjuk az érintett gyártókat a publikálási terveinkről, és szükség esetén alternatív publikálási ütemterveket egyeztetünk az érintett gyártókkal.

E szabályzat célja, hogy egyensúlyt teremtsen a nyilvánosság biztonsági sebezhetőségekről való tájékoztatásának igénye és a gyártók hatékony reagálásra való időigénye között. A publikálási ütemterv végső meghatározása a közösség egészének legjobb érdekén alapul.

A nekünk jelentett sebezhetőségeket a jelentés kézhezvétele után a gyakorlatban lehető leghamarabb továbbítjuk az érintett gyártóknak. A bejelentő nevét és elérhetőségét továbbítjuk az érintett gyártóknak, hacsak a bejelentő másként nem kéri. Tájékoztatjuk a bejelentőt az általa jelentett sebezhetőségek állapotának jelentős változásairól, amennyire ez lehetséges a nekünk bizalmasan megadott információk felfedése nélkül.

A sebezhetőségeket a Vulnerability Notes-ban hozzuk nyilvánosságra.

Az Egyesült Államok kormányának webhelyeire vonatkozó sebezhetőségi jelentéseket továbbítjuk az US-CERT-nek a kormánnyal való koordináció céljából.

Gyakran ismételt kérdések

K: Ez azt jelenti, hogy a CERT/CC a „teljes nyilvánosságra hozatal" (full disclosure) felé halad?

V: Nem fogunk exploitokat terjeszteni, ha ezt jelenti a „full disclosure". Tapasztalataink szerint azoknak az embereknek a száma, akik hasznot húzhatnak az exploitok elérhetőségéből, kicsi azokéhoz képest, akiket az exploitokat rosszindulatúan használók kárt okoznak. Olyan sebezhetőségekről azonban közzéteszünk információt, amelyeket korábban talán nem hoztunk nyilvánosságra. Erőforrásaink határain belül minél több sebezhetőségről közlünk információt.

K: Miért nem 30 nap, vagy 15 nap, vagy azonnal?

V: Úgy gondoljuk, hogy a 45 nap elég szoros határidő lehet egy nagy szervezet számára. Lerövidítése valószínűleg nem segítene a problémán. A kihasználásra utaló bizonyíték hiányában a sebezhetőségek indokolatlan bejelentése nem biztos, hogy a közbiztonság legjobb érdekét szolgálja.

K: Nem lenne jobb titokban tartani a sebezhetőségeket, ha nincs elérhető javítás?

V: A sebezhetőségeket rutinszerűen felfedezik és nyilvánosságra hozzák, gyakran még mielőtt a gyártóknak lett volna tisztességes lehetőségük javítást biztosítani, és a közzététel gyakran működő exploitokat is tartalmaz. Tapasztalataink szerint, ha nincs felelős, szakszerű sebezhetőség-információ közzététel, a kutatók, programozók, rendszergazdák és más IT-szakemberek, akik sebezhetőségeket fedeznek fel, gyakran úgy érzik, nincs más választásuk, mint nyilvánosságra hozni az információt, hogy a gyártókat kényszerítsék a probléma kezelésére.

K: Minden sebezhetőséget 45 napon belül közzéteszünk?

V: Nem. Gyakran előfordulhatnak olyan körülmények, amelyek miatt módosítjuk a publikálási ütemtervünket. A különösen súlyos fenyegetések, vagy azok, amelyekre kihasználási bizonyítékunk van, valószínűleg a kiadási ütemterv lerövidítéséhez vezetnek. A „kemény" változtatásokat (szabványok módosítását, az operációs rendszer alapvető összetevőinek módosítását) igénylő fenyegetések a publikálási ütemterv meghosszabbításához vezetnek. Lehet, hogy nem tesszük közzé minden nekünk jelentett sebezhetőséget.

K: Meglepik majd a gyártókat sebezhetőség-bejelentésekkel?

V: Nem. A nyilvános közzététel előtt jóhiszeműen igyekszünk tájékoztatni a gyártókat szándékainkról.

K: Ha egy gyártó nem ért egyet az Önök problémaértékelésével, elérhető lesz ez az információ?

V: Igen. Hitelesített gyártói nyilatkozatokat kérünk és teszünk közzé, és a vulnerability notes-ban hivatkozunk a vonatkozó gyártói információkra. Nem tartjuk vissza a gyártó által szolgáltatott információt pusztán azért, mert az nem egyezik a probléma általunk végzett értékelésével.

K: Ki kapja meg az információt a nyilvános közzététel előtt?

V: Általában az információt mindenkinek megadjuk, aki hozzájárulhat a megoldáshoz, és akivel bizalmi viszonyunk van, beleértve a gyártókat (gyakran olyan gyártókat is, amelyek termékei nem sebezhetők), közösségi szakértőket, szponzorokat és olyan webhelyeket, amelyek a nemzeti kritikus infrastruktúra részei, ha úgy véljük, hogy ezek a webhelyek veszélyben vannak.

K: Minden jelentett sebezhetőséget közzétesznek?

V: Nem. Saját belátásunk szerint megtagadhatjuk egy sebezhetőségi jelentés koordinálását vagy publikálását. Ez a döntés általában a sebezhetőség terjedelmén és súlyosságán, valamint azon a képességünkön alapul, hogy értéket adhatunk a koordinációs és közzétételi folyamathoz. Akár koordináljuk vagy publikáljuk, akár nem, javasoljuk, hogy a bejelentő jóhiszeműen igyekezzen értesíteni az érintett gyártót, és közvetlenül együttműködni vele a nyilvános közzététel előtt.