Coordinated vulnerability disclosure
← Kebijakan

CERT: Kebijakan Pengungkapan Kerentanan

Kerentanan yang dilaporkan ke CERT/CC akan diungkapkan kepada publik 45 hari setelah laporan awal, terlepas dari ada atau tidaknya patch atau solusi sementara dari vendor yang terdampak. Keadaan yang meringankan, seperti eksploitasi aktif, ancaman yang sifatnya sangat serius (atau sepele), atau situasi yang memerlukan perubahan pada standar yang sudah mapan dapat menyebabkan pengungkapan lebih awal atau lebih lambat. Pengungkapan yang dilakukan oleh CERT/CC akan menyertakan penghargaan kepada pelapor kecuali pelapor meminta sebaliknya. Kami akan memberi tahu vendor yang terdampak tentang rencana publikasi kami dan menegosiasikan jadwal publikasi alternatif dengan vendor yang terdampak bila diperlukan.

Tujuan kebijakan ini adalah menyeimbangkan kebutuhan publik untuk mendapat informasi tentang kerentanan keamanan dengan kebutuhan vendor akan waktu untuk merespons secara efektif. Penentuan akhir jadwal publikasi akan didasarkan pada kepentingan terbaik komunitas secara keseluruhan.

Kerentanan yang dilaporkan kepada kami akan diteruskan kepada vendor yang terdampak sesegera mungkin setelah kami menerima laporan tersebut. Nama dan informasi kontak pelapor akan diteruskan kepada vendor yang terdampak kecuali pelapor meminta sebaliknya. Kami akan memberi tahu pelapor tentang perubahan signifikan pada status kerentanan yang dilaporkannya sejauh memungkinkan tanpa mengungkapkan informasi yang diberikan kepada kami secara rahasia.

Kerentanan akan diungkapkan dalam Vulnerability Notes.

Laporan kerentanan untuk situs web Pemerintah AS akan diteruskan ke US-CERT untuk dikoordinasikan dengan pemerintah.

Pertanyaan yang Sering Diajukan

T: Apakah ini berarti CERT/CC beralih ke "pengungkapan penuh"?

J: Kami tidak akan mendistribusikan exploit, jika itu yang dimaksud dengan "pengungkapan penuh". Berdasarkan pengalaman kami, jumlah orang yang dapat memperoleh manfaat dari tersedianya exploit kecil dibandingkan dengan jumlah orang yang dirugikan oleh mereka yang menggunakan exploit secara jahat. Namun, kami akan mengungkapkan informasi tentang kerentanan yang mungkin sebelumnya tidak kami ungkapkan. Dalam batas sumber daya kami, kami akan menerbitkan informasi tentang sebanyak mungkin kerentanan yang kami bisa.

T: Mengapa bukan 30 hari, atau 15 hari, atau segera?

J: Menurut kami 45 hari bisa menjadi tenggat yang cukup berat bagi organisasi besar. Memperpendeknya secara realistis tidak akan membantu menyelesaikan masalah. Tanpa bukti eksploitasi, mengumumkan kerentanan tanpa alasan yang jelas mungkin tidak demi kepentingan terbaik keselamatan publik.

T: Bukankah lebih baik merahasiakan kerentanan jika belum tersedia perbaikan?

J: Kerentanan secara rutin ditemukan dan diungkapkan, sering kali sebelum vendor mendapat kesempatan yang adil untuk menyediakan perbaikan, dan pengungkapan sering kali menyertakan exploit yang berfungsi. Berdasarkan pengalaman kami, jika tidak ada pengungkapan informasi kerentanan yang bertanggung jawab dan berkualifikasi, maka peneliti, programmer, administrator sistem, dan profesional TI lainnya yang menemukan kerentanan sering merasa tidak punya pilihan selain mempublikasikan informasi tersebut dalam upaya memaksa vendor mengatasi masalah.

T: Apakah semua kerentanan akan diungkapkan dalam 45 hari?

J: Tidak. Sering kali ada keadaan yang menyebabkan kami menyesuaikan jadwal publikasi. Ancaman yang sangat serius atau yang kami miliki bukti eksploitasinya kemungkinan akan membuat kami memperpendek jadwal rilis. Ancaman yang memerlukan perubahan "sulit" (perubahan standar, perubahan komponen inti sistem operasi) akan membuat kami memperpanjang jadwal publikasi. Kami mungkin tidak menerbitkan setiap kerentanan yang dilaporkan kepada kami.

T: Apakah Anda akan mengejutkan vendor dengan pengumuman kerentanan?

J: Tidak. Sebelum pengungkapan publik, kami akan berupaya dengan itikad baik untuk memberi tahu vendor tentang niat kami.

T: Jika vendor tidak setuju dengan penilaian Anda tentang suatu masalah, apakah informasi itu akan tersedia?

J: Ya. Kami meminta dan memposting pernyataan vendor yang terautentikasi serta merujuk informasi vendor yang relevan dalam vulnerability notes. Kami tidak akan menahan informasi yang diberikan vendor hanya karena berbeda dengan penilaian kami atas masalah tersebut.

T: Siapa yang mendapat informasi sebelum pengungkapan publik?

J: Pada umumnya, kami memberikan informasi kepada siapa pun yang dapat berkontribusi pada solusi dan yang memiliki hubungan saling percaya dengan kami, termasuk vendor (sering kali termasuk vendor yang produknya tidak rentan), pakar komunitas, sponsor, dan situs yang merupakan bagian dari infrastruktur kritis nasional, jika kami yakin situs-situs tersebut berisiko.

T: Apakah Anda mengungkapkan setiap kerentanan yang dilaporkan?

J: Tidak. Kami dapat, atas kebijakan kami, menolak mengoordinasikan atau menerbitkan laporan kerentanan. Keputusan ini umumnya didasarkan pada cakupan dan tingkat keparahan kerentanan serta kemampuan kami menambah nilai pada proses koordinasi dan pengungkapan. Baik kami mengoordinasikan atau menerbitkan maupun tidak, kami menyarankan pelapor berupaya dengan itikad baik untuk memberi tahu dan bekerja langsung dengan vendor yang terdampak sebelum pengungkapan publik.