NCSC.nl

1. Bevezetés

A társadalom egyre inkább digitalizálódik. Manapság szinte minden folyamat valamikor számítógépek használatával jár, a mobiltelefonoktól a speciális szoftverekig. Bár ez a fejlődés sok új lehetőséget teremt, az informatikai rendszerek sebezhetőségei nagy hatással lehetnek. Ennek következtében a sebezhetőségekkel kapcsolatos tudást hatékonyan kell kezelni.

Számos szervezet 2013 elején kezdett el szabályzatokat közzétenni arról, hogyan kell jelenteni a sebezhetőségeket. E felekkel folytatott konzultációt követően a Nemzeti Kiberbiztonsági Központ (National Cyber Security Centre, NCSC) összefoglalta a fejleményeket a „Útmutató a Responsible Disclosure gyakorlat kialakításához" („Leidraad om te komen tot een praktijk van Responsible Disclosure"; az „Útmutató") formájában. A vállalatok e szabályzat révén jelzik, hogy nyitottak a külső sebezhetőségi jelentések fogadására, ismertetik előfeltételeiket, és ígéreteket tesznek. Ez a folyamat tisztázta a helyzetet, és némileg biztonságos környezetet teremtett a bejelentők számára, hogy sebezhetőségeket vizsgáljanak és jelentsenek anélkül, hogy közvetlenül bűncselekményt követnének el. Az EU 2016-os, kiberbiztonságról szóló magas szintű találkozóján 29 szervezet megerősítette a sebezhetőségek kezelésére vonatkozó szabályzat fontosságát azzal, hogy aláírta a Koordinált Sebezhetőség-közzétételi Kiáltványt (Coordinated Vulnerability Disclosure Manifesto)1, amelyet a CIO Platform Netherlands és a Rabobank kezdeményezett az NCSC-vel együttműködve.

A koordinált sebezhetőség-közzététel (Coordinated Vulnerability Disclosure, CVD) nagy jelentőségűnek bizonyult az állami és magánszervezetek számára. Nagymértékben függenek az információs rendszerek zavartalan működésétől a mindennapi gyakorlatban. A rendszereikben lévő sebezhetőségekről szóló jelentések az elmúlt években segítettek javítani a rendszerek biztonságát és folytonosságát, egyrészt a sebezhetőségek orvoslásával, másrészt azzal, hogy hozzájárultak a holland vállalatok általános informatikai biztonsági tudatosságához.

Az elmúlt években világossá vált, hogy a bejelentők hajlandók a szervezetek által kidolgozott CVD-szabályzat feltételein belül dolgozni. A jelentéseket a bejelentők közvetlenül vagy közvetve teszik a szervezeteknek. A felelős közzététel gyakorlata megmutatta, hogy a jó szándékú bejelentők és a sebezhető szervezetek képesek voltak együttműködni, és így megtenni a következő lépést a hálózatok és információs rendszerek biztonságának növelésében.

Ehhez a felülvizsgálathoz ismét beszélgettünk a bejelentők széles és sokszínű körével, magán- és állami szereplőkkel, valamint az Ügyészséggel és a Nemzeti Rendőrséggel. Ezek a beszélgetések megerősítették a jelenlegi gyakorlatot, és kiegészítésekhez és fejlesztésekhez vezettek. A legfontosabb új figyelmet igénylő pont a sebezhetőséget jelentő és a szervezet közötti kommunikáció, valamint a más felekkel való kommunikáció a sebezhetőség orvoslása után.

A következő fejezetek a CVD meghatározását, a CVD-szabályzat építőköveit és a kommunikációs folyamatot tárgyalják.

Megjegyzés: Az előző Útmutató a „responsible disclosure" (felelős közzététel) kifejezést használta, amely akkoriban a gyakorlat általános elnevezése volt. Időközben világossá vált, hogy ez a kifejezés túl nagy hangsúlyt helyez a bejelentő felelősségére, miközben az alapelv az, hogy a bejelentőnek és a potenciálisan sebezhető szervezetnek egyenrangú partnernek kell lennie a párbeszédben. Ezt a szemléletet jobban kifejezi a jelenleg általánosan használt „Coordinated Vulnerability Disclosure" (CVD) kifejezés, amely az ISO 29147 és 30111 szabványokban is ennek a folyamatnak a neve.

2. Koordinált sebezhetőség

Az elmúlt 30 évben különféle módszereket alkalmaztak az informatikai rendszerek sebezhetőségeivel kapcsolatos tudatosság növelésére. Példák:

• „Full Disclosure", a sebezhetőség teljes nyilvánosságra hozása;

• „Non-disclosure", a sebezhetőség eladása vagy saját felhasználása;

• „Coordinated Vulnerability Disclosure" (CVD), a sebezhetőség koordinált közzététele.

Az utóbbi gyakorlatot kifejezetten előnyben részesítik.

Az informatikai közösség nagy hajlandóságot mutatott a tudás és a tapasztalat megosztására. A közösséggel való együttműködés keresése ezért segíthet a rendszerek általános biztonságának javításában.

A koordinált sebezhetőség-közzététel célja

A CVD célja, hogy a sebezhetőségekkel kapcsolatos tudás megosztásával hozzájáruljon az informatikai rendszerek biztonságához. A CVD-ben a tudást egy vagy több potenciálisan sebezhető szervezettel osztják meg, hogy a bejelentővel együttműködve közös megoldást találjanak a talált sebezhetőségre. Fontos, hogy az érintett szervezeteknek elegendő idejük legyen bármely sebezhetőség orvoslására vagy a rendszerek védelmére a veszteség vagy kár lehető legnagyobb mértékű korlátozása vagy megelőzése érdekében. A folyamat sarokköve a sebezhetőségekkel kapcsolatos tudás közzététele az orvoslás után.

A CVD-ben elengedhetetlen, hogy minden fél betartsa a sebezhetőség jelentésére és kezelésére vonatkozó megállapodásokat. Segít, ha a szervezet előre közzéteszi az előfeltételeket, például hogy mely rendszerek tartoznak a hatókörbe, és milyen típusú kutatás végezhető. Ezeknek az előfeltételeknek fontos alapelve, hogy a szervezet elvben nem tesz feljelentést a bejelentő ellen, és nem tesz más jogi lépéseket, ha a vizsgálatot és a jelentést a megállapított feltételeken belül végzik. Ez az Útmutató eligazítást nyújt a szervezeteknek a saját szabályzatuk kidolgozásához, amely megtestesíti a CVD alapelveit.

Ahogy a név is jelzi, a CVD-ben központi szerepe van annak, hogy a szervezet és a bejelentő koordinálja egymással. E tekintetben a sebezhetőséget jelentő személy és a szervezeten belül a probléma megoldásáért felelős személy között a lehető legkevesebb láncszemnek kell lennie.

Fontos lehet több felet egyszerre tájékoztatni, ha egy sebezhetőség sok rendszert érint. Ilyen esetben az NCSC vagy a biztonsági közösség más szereplői koordináló szerepből támogathatják a CVD-folyamatot.

3. Felelősségi területek

A CVD-szabályzat követésének célja, hogy a bejelentők és a szervezet együtt dolgozzanak az informatikai rendszerek sebezhetőségeinek csökkentésén. E szabályzat végrehajtását az információbiztonsággal kapcsolatos meglévő intézkedések kiegészítésének kell tekinteni. A különböző szereplőknek mind megvan a maga szerepe és felelőssége. Ezeket az alábbiakban részletesebben ismertetjük.

A rendszert birtokló/kezelő szervezet

A rendszert birtokló/kezelő vagy szállító szervezet elsősorban felelős e rendszer biztonságáért. Más szóval a szervezet felelős a sebezhetőségi jelentés nyomon követéséért is.

A szervezet dönthet úgy, hogy ennek az Útmutatónak a felhasználásával elkészíti saját CVD-szabályzatát, és ezt a szabályzatot kommunikálja a lehetséges bejelentők felé. A CVD-szabályzat közzétételével a szervezetek megmutatják hajlandóságukat a sebezhetőségekkel kapcsolatos információk fogadására.

A CVD-szabályzatot megalkotó fél vállalhatja azt az elvet, hogy nem tesz feljelentést a rendőrségen, ha a szabályzatra vonatkozó szabályokat betartják.

Amint a bejelentő jelentett egy sebezhetőséget, a felelősség a szervezetet terheli. Fontos felismerni, hogy a bejelentő gyakran a szervezeten kívüli személy. Ennek a félnek nincs közvetlen rálátása a belső folyamatokra, amelyek a sebezhetőség jelentése után elindulhatnak. Ennek eredményeként a bejelentők értékelni fogják, ha tájékoztatják őket a sebezhetőség megoldásának alakulásáról. Ez a folyamatos kommunikáció a megoldás nyomon követésével és időszerűségével kapcsolatos megfelelő elvárások kialakításához is fontos.

A sebezhetőséget jelentő fél

A bejelentő így vagy úgy képes volt azonosítani egy sebezhetőséget, és hozzá szeretne járulni az informatikai rendszerek biztonságához azáltal, hogy ezt a sebezhetőséget orvosolják, és esetleg egy későbbi szakaszban nyilvánosságra hozzák. A bejelentő passzív megfigyelés útján vagy az informatikai rendszer aktív tesztelésével fedezhetett fel valamit. Ez a fél természetesen felelős a saját cselekedeteiért és azért, ahogyan a sebezhetőséget felfedezte. A bejelentő saját felelőssége, hogy tisztában legyen a szervezet CVD-szabályzatában meghatározott feltételekkel. A legtöbb kormány és vállalat közzétette CVD-szabályzatát a weboldalán.

A sebezhetőségek keresése azonban törvényszegéssel is járhat. A CVD keretében a szervezet és a bejelentő megállapodhat abban, hogy nem tesznek feljelentést bármely bűncselekmény miatt. E tekintetben a szervezet által közzétett CVD-szabályzat a vezérelv. A felek abban is megállapodhatnak, hogy polgári jogi lépéseket nem tesznek.

Ha felmerül a gyanú, hogy a bejelentő megszegte a törvényt, a CVD-szabályzat mindenekelőtt segíthet megakadályozni, hogy a bejelentőt feljelentsék a hatóságoknál. Ez az eljárás teljes mértékben a szabályzat előfeltételein múlik, amelyek betartását a szervezet megköveteli a bejelentőtől, és azon, hogy ez a betartás megvalósult-e, esetleg a büntetőfeljelentés mellőzésére vonatkozó megfelelő ígérettel, amíg a fél a szabályzat feltételein belül jár el. Ha rendőrségi bejelentést tesznek, a CVD-szabályzat megléte és betartása Hollandiában releváns körülmény, amelyet az ügyész figyelembe vesz, amikor eldönti, hogy indít-e büntetőeljárást és/vagy vádat emel-e. Elvben a rendőrség és az Ügyészség (OM) nem indít büntető- eljárást, ha a bejelentő egyértelműen betartotta az érintett szervezet CVD-szabályzatának szabályait. Az Ügyészség és a rendőrség azonban tovább vizsgálhatja az ügyet, ha arra utalnak jelek, hogy a bejelentő tudatosan vagy tudattalanul túl messzire ment a cselekedeteiben és/vagy nem tartotta be a CVD-szabályzatot. E vizsgálat alapján az Ügyészség eldöntheti, hogy vádat emel-e.

Az Ügyészség szabályzati levelet tett közzé, amelyben konkrétabban foglalkozik a vizsgálat és/vagy vádemelés eldöntése szempontjából fontos szempontokkal. Például, hogy a bejelentő tettei szolgáltak-e fontos közérdeket, hogy a fél eljárt-e aránytalanul, és hogy a fél esetleg cselekedhetett volna-e más, kevésbé drasztikus módon. A vonatkozó szabályzati levél tovább részletezi ezeket a szempontokat.2 A 2013 óta releváns ítélkezési gyakorlat3 azt mutatja, hogy ezeket a szempontokat a bíróság is figyelembe veszi, ha a szervezetnek nincs CVD-szabályzata.

4. A koordinált sebezhetőség-közzétételi folyamat építőkövei

Az alábbiakban a szervezet, a bejelentő és az NCSC számára a CVD-folyamat kialakításához szükséges építőköveket ismertetjük.

A szervezet

A CVD előmozdítása az informatikai rendszereket birtokló vagy informatikai terméket/rendszert szállító szervezettel kezdődik. Végül is ez a szervezet elsősorban felelős e informatikai rendszerek információbiztonságáért. Annak érdekében, hogy hatékonyan működjön együtt különböző felekkel a sebezhetőségek megoldásában, a szervezet dönthet úgy, hogy kidolgoz és közzétesz egy CVD-szabályzatot. A saját CVD-szabályzat kidolgozása lehetővé teszi a szervezet számára, hogy bemutassa, hogyan kezeli a sebezhetőségi jelentéseket. Ily módon a szervezet azt is alakíthatja, hogyan szeretné fogadni a értesítéseket. Egy ilyen folyamat a következőképpen szervezhető:

• A szervezet CVD-szabályzatot állapít meg és tesz közzé.

• Ebben a szabályzatban a szervezet világos szabályokat ad a kutatásra, amelyet a bejelentők végezhetnek, például hogy mely technikák megengedettek, és mely rendszerek tartoznak a hatókörbe vagy esnek azon kívül.

• A szervezet megkönnyíti a bejelentő számára a jelentéstételt. Egy lehetőség egy szabványosított jelentési módszer használata; például egy konkrét e-mail-cím vagy online űrlap. Ezenkívül a szervezet eldöntheti, hogy fogad-e névtelen jelentéseket.

• A szervezet belső kapacitást különít el, és folyamatot állít fel a jelentésekre való megfelelő reagáláshoz. Tanácsos olyan folyamatot felállítani, amellyel a talált sebezhetőségek megfelelően orvosolhatók. E tekintetben a jelentés eredete közömbös. A sebezhetőséget például belső munkatárs is azonosíthatta, vagy egy teszt során.

• A gyakorlati tapasztalat azt mutatja, hogy egy CVD-szabályzat első közzététele után nagyobb lesz az érdeklődés a sebezhetőségek szervezetnek való jelentése iránt. A szervezetnek ezt figyelembe kell vennie a (további) kapacitás tervezésekor.

• Amikor a szervezet megkapja a sebezhetőségi jelentést, gondoskodik arról, hogy a jelentés a lehető leghamarabb eljusson ahhoz az osztályhoz, amely a legalkalmasabb a jelentés értékelésére és kezelésére.

• A szervezet visszaigazolást küld a jelentés kézhezvételéről a bejelentőnek, lehetőleg digitálisan aláírva a prioritás hangsúlyozására.

• Ezt követően a szervezet konzultációt folytat a bejelentővel, hogy meghatározzák azt az időszakot, amelyen belül az esetleges közzététel megtörténik. Ez az időszak nagymértékben a sebezhetőség jellegétől és a rendszer típusától függ.

• Iránymutatásként a szoftveres sebezhetőségeknél gyakran körülbelül 60 napos időszakot alkalmaznak. A hardveres sebezhetőségek orvoslása nehezebben érhető el; 6 hónapos iránymutatás használható.

• Kívánatos lehet ezt az időszakot kölcsönös megegyezéssel meghosszabbítani vagy lerövidíteni attól függően, hogy mennyi vagy mennyire kevés informatikai rendszer függ attól a rendszertől, amelyre a sebezhetőséget jelentették, vagy hogy a sebezhetőség könnyebben vagy nehezebben megoldható-e.

• Egy sebezhetőség megoldása nehéznek vagy lehetetlennek bizonyulhat, vagy a megoldásával magas költségek járhatnak. Ilyen esetekben a szervezet megállapodhat abban, hogy a sebezhetőséget elfogadott kockázatnak tekinti, és nem orvosolja, esetleg a bejelentővel egyeztetve.

• A szervezet tájékoztatja a bejelentőt a folyamat alakulásáról.

• Ezenkívül a szervezet felajánlhatja, hogy a bejelentőt nyilvánosan elismerik a sebezhetőség közzétételéért. Lehetséges a külvilág felé történő közös közzététel mellett is dönteni.

• Célszerű jutalmazni a bejelentőt a rendszerekben lévő sebezhetőségek jelentéséért, ha a fél betartotta a CVD-szabályzat szabályait. A jutalom összege függhet a jelentés minőségétől. A bejelentő jutalmazása jobb kapcsolatot teremthet az adott fél és a szervezet között, valamint növelheti az emberek hajlandóságát új jelentések tételére a CVD-szabályzatnak megfelelően.

• A bejelentővel egyeztetve a szervezet megállapodhat abban, hogy tájékoztatja a szélesebb informatikai közösséget a sebezhetőségről, ha valószínű, hogy a sebezhetőség máshol is jelen van.

• CVD-szabályzatában a szervezet vállalhatja azt az elvet, hogy nem tesz feljelentést a rendőrségen, ha a bejelentő betartotta a szabályzatban vázolt szabályokat.

A bejelentő

A bejelentő a sikeres CVD-folyamat kulcsa. Ez a fél így vagy úgy képes volt azonosítani egy sebezhetőséget, és hozzá szeretne járulni az informatikai rendszerek biztonságához azáltal, hogy egy szervezet orvosolja ezt a sebezhetőséget, és nyilvánosságra hozzák. Ezzel a bejelentők elismerik, hogy fontos hozzájárulást tehetnek a társadalomhoz azzal, hogy koordinált módon tárják fel a sebezhetőségeket. A sikeres CVD- folyamat eléréséhez a következő építőkövek fontosak a bejelentő számára:

• A bejelentő felel saját cselekedeteiért, és be kell tartania az arányosság és a szubszidiaritás elvét a sebezhetőségek vizsgálata és jelentése során. Más szóval a bejelentő ne tegyen többet, mint ami a sebezhetőség bemutatásához szükséges, és mindig először a rendszer/információ tulajdonosának jelentse a sebezhetőséget.

• A bejelentőnek a lehető leghamarabb jelentenie kell a problémát, hogy megakadályozza, hogy rosszindulatú felek felfedezzék a sebezhetőséget és kihasználják azt.

• A bejelentőnek bizalmas módon kell megtennie a jelentést a szervezetnek, hogy megakadályozza, hogy mások hozzáférjenek ehhez az információhoz.

• A bejelentő nem teheti függővé a jelentés benyújtását vagy az információk további szolgáltatását a jutalomtól. A jutalom odaítélésének kezdeményezése jelentés esetén a fogadó szervezetet illeti, amely a közzétett szabályzatában előfeltételeket határozhat meg.

• A bejelentő és a szervezet egyértelmű megállapodásokat köt a sebezhetőség közzétételéről. Ha egynél több szervezet érintett, az alapelv az, hogy a sebezhetőségeket csak akkor lehet közzétenni, ha minden szervezet ebbe beleegyezik. E megállapodások korai szakaszban történő megkötése tanácsos.

• A bejelentő és az érintett szervezet megállapodásokat köthet a szélesebb informatikai közösség tájékoztatásáról. Ez a helyzet például vonatkozhat olyan sebezhetőségre (akár már ismert, akár nem), amelyről ismert, hogy egynél több helyen jelen van. A Nemzeti Kiberbiztonsági Központ (NCSC) bevonható ebbe a folyamatba, hogy támogassa a központi kormányzat és a kritikus infrastruktúra célcsoportjait, vagy hogy több felet tájékoztasson olyan sebezhetőség esetén, amely sok rendszert érint.

Az NCSC

A CVD-folyamat elsősorban a szervezetek és a bejelentők ügye. Mindazonáltal az NCSC ösztönözni fogja a CVD-folyamat használatát. A bejelentővel és a szervezettel folytatott konzultációban az NCSC is részt vehet a sebezhetőségről szóló információk megosztásában a hozzá tartozó közösséggel, hogy korlátozza a sebezhetőségből eredő további biztonsági kockázatokat.

Ha a sebezhetőség jelentése nem úgy alakul, ahogy a bejelentő várja, vagy ha szívesebben nem jelentené a sebezhetőséget közvetlenül a szervezetnek, felveheti a kapcsolatot az NCSC-vel.4 Ebben az esetben az NCSC szükség esetén közvetítőként járhat el.

Az informatikai rendszer tulajdonosa mindenkor felelős a rendszer biztonságáért. Az NCSC nem kényszerítheti a rendszer tulajdonosát a sebezhetőség orvoslására, és nem is garantálhatja, hogy a tulajdonos nem tesz jogi lépéseket a bejelentő ellen. Ennek következtében a bejelentőnek figyelembe kell vennie a szervezetekre és bejelentőkre vonatkozó fent említett építőköveket a sebezhetőség keresésekor és jelentésekor. A bejelentő elvárhatja, hogy az NCSC mindent megtegyen a sebezhetőség orvoslásáért, és bizalmasan kezelje a jelentést. Az NCSC nem oszt meg személyes adatokat, kivéve, ha jogilag erre kötelezett.

Ha lehetséges, az NCSC a sebezhetőségekről szerzett információkat a szervezetekkel és bejelentőkkel folytatott konzultációban felhasználja a tudás további megosztására az informatikai közösséggel. Például az információk egy részének közzétételével, tájékoztató lap (fact sheet) vagy fehér könyv (white paper) írásával vagy frissítésével, illetve konkrét szervezetek tájékoztatásával teheti ezt meg.

• Az érintett szervezettől és a megállapított sebezhetőség jellegétől függően az NCSC igyekszik felhívni az érintett szervezet figyelmét a sebezhetőségre. Az érintett informatikai rendszer tulajdonosa azonban továbbra is felelős a rendszerért.

• Ahol lehetséges és szükséges, az NCSC tanáccsal látja el az érintett szervezetet a sebezhetőség orvoslásának módjáról.

• Az NCSC bizalmasan kezeli a jelentéseket, és nem osztja meg a bejelentők vagy a fogadó szervezet személyes adatait hozzájárulás nélkül, kivéve, ha ez jogszabályi kötelezettségből következik.

• Ahol lehetséges, az NCSC tájékoztatja a bejelentőt a szervezettel való kapcsolat és a sebezhetőség orvoslásának alakulásáról.

• Azokban az esetekben, amikor a jelentést az NCSC-nek teszik, az NCSC megpróbálja kapcsolatba hozni a bejelentőt vagy a leendő bejelentőt és a szervezetet egymással.

Ha egy bejelentő például szoftvertermékben talált sebezhetőséget, vagy olyan sebezhetőséget, amely sok különböző rendszert érint, a bejelentő kérheti az NCSC-t, hogy koordinálja a sebezhetőség orvoslását és közzétételét.

A bejelentővel, partnerekkel, fejlesztőkkel és/vagy szoftverfejlesztőkkel és más biztonsági csapatokkal együtt az NCSC segít elemezni, orvosolni vagy orvosoltatni, koordinálni és ellenőrzött módon közzétenni a sebezhetőséget. Mindez a folyamat a sebezhetőséget megtaláló bejelentővel szoros konzultációban zajlik.

A CVD-szabályzat egyensúlyt próbál találni a sebezhetőségek lehető leggyorsabb közzétételének fontossága között, hogy intézkedéseket lehessen hozni, és annak fontossága között, hogy a fejlesztőknek és a szállítóknak is elegendő idejük legyen a sebezhetőség orvoslására. Ehhez a folyamathoz az NCSC szabványos 60 napos időszakot alkalmaz a jelentés és a nyilvános közzététel között. Lehetnek azonban olyan körülmények, amelyek között dönthetnek e határidő meghosszabbításáról vagy lerövidítéséről.

Az NCSC csak a bejelentővel folytatott konzultáció után ad át információt a sebezhetőségről harmadik feleknek. Ebben a összefüggésben elengedhetetlen, hogy az NCSC együttműködjön, és ezért megossza az információkat a sebezhetőségről az érdekelt felekkel a sebezhetőség koordinált közzététele érdekében. Ennek során az NCSC biztosítja, hogy a megfelelő felek dolgozhassanak a sebezhetőség orvoslásán, segít korlátozni a veszteséget vagy kárt, és segít felhívni a figyelmet a talált sebezhetőségre.

5. Kommunikáció és a közzétételi folyamat

Ötéves gyakorlat megmutatta, hogy a világos kommunikáció a sikeres CVD-folyamat sarokköve. A CVD-folyamat előtt, közben és után is vannak figyelmet igénylő pontok.

Kommunikáció a közzétételi folyamatról

A CVD-szabályzat közzététele az első lépés a folyamatról való kommunikációban. A szabályzat nyilvános közzétételével a bejelentőket felkérik, hogy értesítsék a szervezetet bármely talált sebezhetőségről.

Egyrészt a szervezet feltételeket állapíthat meg a sebezhetőségek felfedezésére végzett kutatásra és a kapcsolatfelvétel módjára. Másrészt a szervezet vállalhatja azt az elvet, hogy nem tesz feljelentést a rendőrségen, ha a szabályzat szabályait betartják. Ez a megközelítés védi a bejelentő helyzetét.

A CVD-szabályzatot később módosíthatják vagy frissíthetik. Fontos, hogy a változásokról világos tájékoztatás legyen. A bejelentőknek érdekük, hogy tudják, mi változott és mikor. Például a változásokat egyértelművé lehet tenni azzal, hogy a CVD-szabályzat elején feltüntetik a közzététel dátumát, a CVD-szabályzat alatt összefoglalják a változásokat, vagy archívumot vezetnek a CVD-szabályzat régi verzióival.

A CVD-szabályzat útmutatást adhat arra, hogyan kommunikáljanak a folyamat során, például rendszeres e-mailes vagy webes portálon keresztüli frissítések jelzésével. Ezenkívül a CVD-szabályzat leírhatja, hogyan ismerhető el egy bejelentő azáltal, hogy megemlítik egy frissítésben, felveszik egy dicsőségfalra (hall of fame), vagy bármely más jutalmazási formával.

Kommunikáció a közzétételi folyamat során

A bejelentő úgy indítja el a CVD-folyamatot, hogy üzenetet küld a szervezetnek. Ebben az üzenetben a bejelentő világos leírást ad a felfedezett sebezhetőségről. Fontos elemek az érintett rendszer IP-címe vagy URL-je és a sebezhetőség reprodukálásához szükséges lépések.

Fontos, hogy a szervezet világosan kommunikáljon a bejelentővel, hogy a folyamattal kapcsolatos elvárások egyértelműek legyenek.

Ezt már úgy is megteheti, hogy visszaigazolást küld (automatikusat vagy mást), amely jelzi azt a határidőt, amelyen belül az első vagy további érdemi választ elküldik.

Az is lehetséges, hogy ezt az időszakot nyitva hagyják, és a jelentés tartalmának értékelése után adnak első jelzést a határidőről. Tanácsos minél hamarabb világossá tenni, milyen időszakon belül érhető el megoldás. Így a bejelentő tudja, mikorra várható eredmény.

Bizonyos esetekben lehetséges, hogy a közzététel dátuma már egyértelmű a bejelentő számára; például egy konferencián tartott előadás miatt, vagy mert a bejelentő saját határidőt szabott. Ebben az esetben is fontos, hogy a bejelentő világosan közölje ezt az időrendet, a lehető legkorábban jelezze, és egyértelmű legyen e dátum elhalasztásának lehetősége/lehetetlensége tekintetében.

A bejelentő gyakran a szervezeten kívüli személy, akinek nincs rálátása azokra a belső folyamatokra, amelyeket egy jelentés elindíthat. A szervezetek rendszeres frissítésekkel tájékoztathatják a bejelentőt a folyamat alakulásáról. Ez a megközelítés egyértelművé teszi a bejelentő számára, hogy dolgoznak a megoldáson. Szükség esetén a szervezet kérhet tisztázást vagy tesztelhet egy megoldást a folyamat során.

Ha a szervezet nem tudja betartani a kezdeti megoldási határidőt, megvitatható a bejelentővel az elhalasztása. A rendszeres kommunikáció ezt a helyzetet korábbi szakaszban világossá teheti a bejelentő számára.

A CVD fő szándéka a sebezhetőség mérséklése, de a sebezhetőség „teljes nyilvánosságra hozatala" (full disclosure) mindig lehetőség a bejelentő számára, ha úgy érzi, hogy a folyamat túl sokáig fog tartani. Ez az intézkedés a közmondásos „nagy bot" (big stick), amely a bejelentő rendelkezésére áll. Természetesen ezt a helyzetet lehetőség szerint el kell kerülni.

Kommunikáció a közzétételi folyamat után

Számos oka lehet annak, hogy a bejelentő sebezhetőségeket keres, majd a CVD-folyamaton keresztül jelenti azokat a szervezeteknek. A bejelentők nagy része számára fontos ösztönző a (nyilvános) elismerés.

A bejelentők nyilvános elismerést kapnak egy frissítésben megjelenő köszönet vagy a dicsőségfalra (hall of fame) való felvétel révén. A nyilvános elismerés igénye azonban nem vonatkozik minden bejelentőre; vannak, akik valójában nem akarnak ismertek lenni a nyilvánosság előtt. A szervezet általi kommunikáció esetén ezért tanácsos beszerezni a bejelentő hozzájárulását a megnevezéséhez.

Ezenkívül a bejelentők úgy is dönthetnek, hogy a jelentésről a CVD-folyamat befejezése után kommunikálnak. Például a bejelentő leírhatja a felfedezés folyamatát, vagy figyelmeztetheti másokat a sebezhetőségre. A bejelentő dönthet úgy, hogy a közleményt tájékoztatási célból benyújtja a szervezetnek. Mivel a CVD-folyamat elvben a sebezhetőség megszüntetése után befejeződik, a bejelentő ezt követően szabadon kommunikálhat róla, hacsak a szabályzatban vagy a folyamat során nem kötnek további megállapodásokat.

Lista

Kommunikáció a közzétételi folyamatról

• A CVD-szabályzat közzététele a weboldalon

• Világosság a korlátozásokról (a különböző megközelítésekért lásd a 6. fejezetet)

• Korlátozások a vizsgálati módszerekben

• Útmutatás a kommunikációról

• Útmutatás a lehetséges jutalmakról: dicsőségfal (Hall of fame), pénzbeli jutalom, póló stb.

• Világosság a CVD-szabályzat bármely frissítéséről, beleértve a változások dátumát

Kommunikáció a közzétételi folyamat során

• A bejelentő kapcsolatba lép a szervezettel egy felfedezett sebezhetőségről.

• A szervezet kezeli az elvárásokat, például az első technikai válasz válaszidejét

• A szervezet és a bejelentő világosságot teremt egymás számára a várható megoldási időszakról

• A szervezet gyakran ad (folyamat)frissítést

• Szükség esetén a bejelentő és a szervezet megvitatja a más releváns szervezetekkel való kapcsolatfelvételt

Kommunikáció a közzétételi folyamat után

• A bejelentő (nyilvános) elismerésének és jutalmazásának megvitatása

• Megállapodás arról, hogyan teszik közzé a sebezhetőségről szóló információkat, például a kutatási szakaszt vagy más szervezetek tájékoztatását

6. Példák koordinált sebezhetőség-közzétételi szabályzatra

A koordinált sebezhetőség-közzétételről sokféle szabályzatszöveg létezik. Mivel a közzétett CVD-szabályzat útjelzőként szolgál a lehetséges bejelentők számára, győződjön meg arról, hogy e szabályzat formája összhangban van a szervezet politikájával és stratégiájával.

A következő elemek fontosak egy CVD-szabályzatban:

• elérhetőségi mód a biztonságos kommunikációhoz;

• előfeltételek a bejelentők számára;

• világos elvárások a jelentés kezelésére;

• a jelentés jutalmazásának módja;

• verziószám és a legutóbbi felülvizsgálat dátuma.

Az alábbiakban három példa található: Hollandiában számos szervezet merített a ResponsibleDisclosure.nl alappéldájából. Más szervezetek további előfeltételeket tartalmaznak, lásd a Fox IT szabályzatát. Megint más szervezetek szabadabb formátumot alkalmaznak, hogy igazodjanak célközönségükhöz, lásd a Bits of Freedom szabályzatát.

Példa: ResponsibleDisclosure.nl

Ezt a szöveget Floor Terra írta, és Creative Commons Attribution 3.0 Unported licenc alatt tették közzé.

Az Acme Corporationnél rendszereink biztonságát elsődleges prioritásnak tekintjük. De bármennyi erőfeszítést fektetünk is a rendszerek biztonságába, még mindig lehetnek sebezhetőségek.

Ha sebezhetőséget fedez fel, szeretnénk tudni róla, hogy lépéseket tehessünk a lehető leggyorsabb kezelése érdekében.

Szeretnénk megkérni, hogy segítsen nekünk jobban megvédeni ügyfeleinket és rendszereinket.

Kérjük, tegye a következőket:

• Küldje el megállapításait e-mailben a cert@example.com címre. Titkosítsa megállapításait a PGP-kulcsunkkal, hogy megakadályozza, hogy ez a kritikus információ rossz kezekbe kerüljön,

• Ne használja ki a felfedezett sebezhetőséget vagy problémát, például azzal, hogy a sebezhetőség bemutatásához szükségesnél több adatot tölt le, vagy másoknak az adatait törli vagy módosítja,

• Ne fedje fel a problémát másoknak, amíg meg nem oldották,

• Ne alkalmazzon fizikai biztonság elleni támadásokat, social engineeringet, elosztott szolgáltatásmegtagadást, spamet vagy harmadik felek alkalmazásait, és

• Adjon elegendő információt a probléma reprodukálásához, hogy a lehető leggyorsabban meg tudjuk oldani. Általában az érintett rendszer IP-címe vagy URL-je és a sebezhetőség leírása elegendő lesz, de az összetett sebezhetőségek további magyarázatot igényelhetnek.

Amit ígérünk:

• 3 munkanapon belül válaszolunk a jelentésére a jelentés értékelésével és a várható megoldási dátummal,

• Ha betartotta a fenti utasításokat, nem teszünk jogi lépéseket Ön ellen a jelentéssel kapcsolatban,

• Jelentését szigorú bizalmassággal kezeljük, és személyes adatait az Ön engedélye nélkül nem adjuk tovább harmadik feleknek,

• Tájékoztatjuk Önt a probléma megoldása felé tett előrehaladásról,

• A jelentett problémával kapcsolatos nyilvános információkban megadjuk az Ön nevét a probléma felfedezőjeként (hacsak nem kíván mást), és

• Segítségéért hálánk jeléül jutalmat ajánlunk minden olyan biztonsági probléma jelentéséért, amely még nem volt ismert számunkra. A jutalom összegét a szivárgás súlyossága és a jelentés minősége alapján határozzuk meg. A minimális jutalom egy 50 € értékű ajándékutalvány lesz.

Igyekszünk minden problémát a lehető leggyorsabban megoldani, és aktív szerepet szeretnénk játszani a problémáról szóló végső közzétételben, miután megoldották.

Példa: Fox-IT

A Fox-ITnél rendszereink, hálózatunk és termékeink biztonságát a legfontosabbnak tekintjük. A biztonságra fordított nagy gondosság ellenére még mindig maradhatnak gyenge pontok. Ha ilyen gyengeséget talált, szeretnénk minél hamarabb értesülni róla, hogy a lehető leggyorsabban megtehessük a megfelelő intézkedéseket.

A gyenge pontokat kétféleképpen lehet felfedezni: véletlenül is rábukkanhat valamire egy digitális környezet normál használata során, vagy kifejezetten mindent megtehet azért, hogy megtalálja őket.

Felelős közzétételi szabályzatunk nem felhívás üzleti hálózatunk aktív szkennelésére a gyenge pontok felfedezése érdekében. Üzleti hálózatunkat magunk figyeljük. Ez azt jelenti, hogy nagy az esélye, hogy a szkennelést észlelik, és a Security Operation Center (SOC) vizsgálatot végez, ami felesleges költségeket eredményezhet. Ugyanakkor szeretettel hívjuk, hogy aktívan keressen sebezhetőségeket termékeinkben egy offline, nem éles környezetben, és jelentse nekünk a megállapításait. Az ügyfeleink iránti felelősségünk azt jelenti, hogy nem áll szándékunkban ösztönözni az infrastruktúrájuk elleni feltörési kísérleteket; ugyanakkor szeretnénk minél hamarabb hallani Önről, ha sebezhetőségeket találnak, hogy megfelelően megoldhassuk azokat.

Szeretnénk Önnel együttműködni, hogy jobban megvédhessük ügyfeleinket és rendszereinket.

Arra kérjük, hogy:

• Megállapításait minél hamarabb küldje el e-mailben a security-alert@fox-it.com címre.

• Ne éljen vissza a sebezhetőséggel; például adatok letöltésével, szerkesztésével vagy törlésével. Jelentését mindig komolyan vesszük, és minden sebezhetőségre utaló gyanút kivizsgálunk, bizonyíték nélkül is.

• Ne ossza meg a problémát másokkal, amíg meg nem oldották.

• Ne alkalmazzon fizikai biztonság elleni támadásokat, social engineeringet vagy hackereszközöket, például sebezhetőségi szkennereket.

• Adjon megfelelő információt a probléma reprodukálásához, hogy a lehető leggyorsabban megoldhassuk. Általában az érintett rendszer IP-címe vagy URL-je és a sebezhetőség leírása elegendő, bár összetettebb sebezhetőségekhez több információra lehet szükség.

Amit ígérünk:

• Három munkanapon belül válaszolunk a jelentésére a jelentés értékelésével és a várható megoldási dátummal.

• Jelentését bizalmasan kezeljük, és személyes adatait az Ön engedélye nélkül nem osztjuk meg harmadik felekkel. Ez alól kivétel a rendőrség és az igazságszolgáltatás vádemelés esetén vagy ha információt kérnek.

• Tájékoztatjuk Önt a probléma megoldásának előrehaladásáról.

• A jelentett problémáról szóló kommunikációban, ha kívánja, megnevezzük Önt mint a problémát felfedező felet.

• Sajnos nem lehet előre garantálni, hogy nem teszünk jogi lépéseket Ön ellen. Reméljük, hogy minden helyzetet egyedileg mérlegelhetünk. Erkölcsileg kötelesnek tartjuk magunkat arra, hogy feljelentsük Önt, ha gyanítjuk, hogy a gyengeséggel vagy az adatokkal visszaélnek, vagy hogy megosztotta a gyengeségről szerzett tudását másokkal. Biztos lehet benne, hogy egy véletlen felfedezés online környezetünkben nem vezet vádemeléshez.

• Segítségéért hálánk jeléül jutalmat ajánlunk minden olyan biztonsági probléma jelentéséért, amely nem ismert számunkra. A jutalom értékét a jogsértés súlyossága és a jelentés minősége alapján határozzuk meg.

Igyekszünk minden problémát a lehető leggyorsabban megoldani, minden érintett felet tájékoztatni, és szeretnénk részt venni minden, a problémáról szóló publikációban, miután megoldották.

Példa: Bits of Freedom

A digitális infrastruktúrától való függőségünk folyamatosan nő. Ez igaz a társadalom egészére, de saját magunkra is. Ezért véleményünk szerint a kormányoknak és szervezeteknek (beleértve a mienket is) határozottan el kell köteleződniük digitális infrastruktúránk biztosítása mellett. Tisztában vagyunk azzal, hogy a legjobb szándékaink és legnagyobb gondosságunk ellenére is lehetnek sebezhetőségek a rendszereinkben. Ha Ön ezek közül a gyengeségek közül egyet megtalál, szívesen hallanánk Önről, hogy megoldhassuk a problémát.

Amit elvárunk Öntől

• Amikor az egyik rendszerünket vizsgálja, tartsa szem előtt a támadás arányosságát. Nem kell bizonyítania, hogy ha weboldalunkat az internet történetének legnagyobb DDoS-támadásának veti alá, az oldal elérhetetlenné válhat. Ezt tudjuk. Azt is megértjük, hogy ha buldózerrel behajt az irodánkba, valószínűleg el tudja ragadni az egyik laptopunkat.

• Ez az arányossági elv a sebezhetőség bemutatásakor is releváns. Nem szabad több adatot megvizsgálnia vagy módosítania, mint amennyi szigorúan szükséges a megállapítása érvényességének megerősítéséhez. Például, ha módosítani tudja a kezdőlapunkat, csak adjon hozzá egyetlen vitathatatlan szót ahelyett, hogy átvenné az egész oldalt. Ha hozzáférést szerezhet egy adatbázishoz, elegendő megmutatnia nekünk a benne lévő táblák listáját, vagy talán az egyik tábla első rekordját.

• A rendszereink egyikében lévő sebezhetőséget a lehető leghamarabb jelenteni kell a security@bof.nl címre küldött e-mailben. Lehetőleg titkosítsa az üzenetét OpenPGP használatával. Kérjük, adjon elegendő információt, hogy reprodukálhassuk és kivizsgálhassuk a problémát.

• A security@bof.nl nyilvános OpenPGP-kulcsa

• Nem osztja meg a sebezhetőségről szerzett tudását más felekkel, amíg nem foglalkoztunk a problémával, és még mindig ésszerű időkereten belül vagyunk attól kezdve, hogy jelentette a problémát.

• A vizsgálata során megszerzett összes bizalmas információt törölni fogja, amint megoldottuk a sebezhetőséget.

Amit tőlünk várhat

• Három napon belül részletesen válaszolunk a jelentésére. Mellékelünk egy becslést arról, mennyi időre lesz szükségünk a probléma kezeléséhez. Természetesen rendszeresen tájékoztatjuk Önt az előrehaladásunkról.

• A sebezhetőséget a lehető leghamarabb megoldjuk. Itt is fontos az arányosság: a sebezhetőség javításához szükséges idő több tényezőtől függ, köztük a szóban forgó probléma súlyosságától és bonyolultságától.

• Ha betartja az itt lefektetett irányelveket, nem teszünk jogi lépéseket Ön ellen a jelentésével kapcsolatban.

• Fontos számunkra, hogy elismerjük Önt azért, amit tett – ha szeretné. A nevét a sebezhetőségről szóló kiadványban csak akkor említjük meg, ha Ön ehhez hozzájárul.

• Köszönetképpen azért, hogy segít jobban megvédeni rendszereinket, szeretnénk jutalmazni minden olyan sebezhetőségi jelentést, amely akkoriban nem volt ismert számunkra. A jutalom a sebezhetőség súlyosságától és a jelentés minőségétől függ.

Ha az általunk használt harmadik fél szoftverében talál sebezhetőséget, és erre a sebezhetőségre bug bounty program vonatkozik, mi nem próbáljuk igényelni ezt a jutalmat; Önnek kell ezt megtennie.