Coordinated vulnerability disclosure

Samræmd birting öryggisveikleika (CVD)

Hvernig tilkynna á, taka við og samræma öryggisveikleika, með dæmum um stefnur.

Samræmd birting öryggisveikleika (Coordinated vulnerability disclosure, CVD) er hugtak úr tölvuöryggi. Það lýsir því hvernig fólk getur deilt skýrslum um öryggisvandamál. Dæmi eru villuskýrslur, innbrotshættur, tölvuárásarviðvaranir, gagnaleki, innbrot á vefsvæði o.s.frv.

Þýðingar: العربية, Български, বাংলা, Čeština, Cymraeg, Dansk, Deutsch, Ελληνικά, English, Español, Eesti, Euskara, فارسی, Suomi, Français, Gaeilge, Gàidhlig, ગુજરાતી, Hausa, עברית, हिन्दी, Hrvatski, Magyar, Bahasa Indonesia, Íslenska, Italiano, 日本語, 한국어, Lietuvių, Latviešu, Nederlands, Polski, Português, Română, Русский, Slovenčina, Slovenščina, Svenska, Kiswahili, ไทย, Türkçe, Українська, اردو, Tiếng Việt, 中文

Efnisyfirlit:

Stefnur:

Inngangur

Þetta skjal útskýrir samræmda birtingu öryggisveikleika á hátt sem getur hjálpað fólki að vinna saman.

Markmið skjalsins:

  1. Hjálpa fólki sem finnur öryggisvandamál og vill tilkynna þau.

  2. Hjálpa fulltrúum fyrirtækja að skilja þarfir, markmið, starfshætti og sérstök tilvik ábyrgrar birtingar.

  3. Hafa í möppu gagnageymslunnar dæmi um stefnur um samræmda birtingu öryggisveikleika.

Við tökum fagnandi á móti breytingabeiðnum (pull request), GitHub-málum (issue) eða tölvupósti á security@joelparkerhenderson.com.

Hvað er samræmd birting öryggisveikleika?

Samræmd birting öryggisveikleika lýsir þremur skrefum þegar einhver finnur öryggisvandamál (eins og hugbúnaðarvillu) og vill tilkynna það til framleiðandans (eins og fyrirtækisins sem gerir hugbúnaðinn).

Skref:

  1. Finnandinn tilkynnir vandamálið í einrúmi og í góðri trú til framleiðandans.

  2. Framleiðandinn reynir í góðri trú að vernda notendur og takast á við vandamálið.

  3. Eftir tiltekinn tíma er öryggisvandamálið gert opinbert.

Skref 1: Tilkynntu vandamálið

Skref 1 er fyrir finnandann: tilkynntu vandamálið í einrúmi og í góðri trú.

  • Gott: Finnandinn sendir viðeigandi upplýsingar til framleiðandans, til dæmis með tölvupósti á öryggistölvupóstfang framleiðandans (venjulega „security@example.com") eða með vefeyðublaði á vefsvæði framleiðandans (venjulega „https://www.example.com/security").

  • Slæmt: Að birta skýrsluna á opinberu bloggi, eða gera fjölmiðlum viðvart, eða hóta, eða reyna að selja öryggisvandamálið til tölvuþrjóta o.s.frv.

  • Ábending: Finnandinn getur valið að vera nafnlaus; framleiðandinn getur einnig valið að vera nafnlaus.

Ef þú vilt, fylgstu áfram með vandamálinu.

  • Gott: Að opna samskiptaleiðir, eða veita eftirfylgniupplýsingar, eða fylgjast með stöðunni.

  • Slæmt: Að gleyma vandamálinu.

  • Ábending: Finnandinn getur valið að hjálpa eða ekki, og einnig valið að vera í samskiptum eða ekki, og getur einnig breytt fyrirkomulaginu ef aðstæður breytast.

Ef þú vilt, birtu vandamálið öðrum.

  • Gott: Að bíða í tilgreindan tíma og fara svo opinberlega, til dæmis með því að birta viðeigandi upplýsingar á öryggisfréttasíðu, eða hafa samband við viðeigandi öryggisrannsakendur þriðja aðila, eða tilkynna vandamálið á hvaða opinberu samfélagssíðu sem er o.s.frv.

  • Slæmt: Að birta vandamálið ekki öðrum, nema þú teljir að það myndi valda meiri áhættu en sambærilegri fyrir sjálfan þig eða aðra.

  • Ábending: Ef aðstæður breytast, til dæmis ef meiri áhætta eða virk misnotkun í umferð (in the wild) uppgötvast, þá getur finnandinn birt vandamálið öðrum fyrr.

Skref 2: Tryggðu samskiptaleiðir

Skref 2 er fyrir framleiðandann: tryggðu að samskiptaleiðir séu nothæfar.

  • Gott: Framleiðandinn birtir öryggissamskiptapóstfang (venjulega „security@example.com") og helst öruggan dulkóðunarlykil fyrir tölvupóst.

  • Gott: Framleiðandinn birtir öryggissamskiptavefsíðu (venjulega „https://www.example.com/security") og gerir síðuna helst auðfundna, til dæmis í gegnum fót vefsvæðisins, vefkort og leit.

  • Slæmt: Framleiðandinn býður ekki upp á tölvupóstfang eða vefsíðu, eða gerir þau ekki auðfundin.

Tryggðu getu starfsfólks.

  • Gott: Framleiðandinn þjálfar þjónustufólk í því hvað það á að gera ef það fær öryggisfyrirspurn, til dæmis hvernig á að svara með samskiptaupplýsingum, eða hvernig á að áframsenda fyrirspurnina til réttu innri teymisins.

  • Gott: Framleiðandinn sannreynir reglulega að geta starfsfólks virki.

  • Slæmt: Framleiðandinn þjálfar ekki eða sannreynir ekki.

Svaraðu finnandanum innan tímamarka.

  • Ef finnandinn tilgreinir ekki tímamörk skaltu nota einn virkan dag, því það er iðnaðarstaðall og núverandi besta starfsvenja í greininni.

  • Ef finnandinn spyr spurninga skaltu svara þeim. Þetta er sérstaklega mikilvægt ef finnandinn biður um leyfi til að prófa. Tryggðu að öll svör séu skýr og bein.

Svaraðu finnandanum í gegnum viðurkenndan öryggistengilið og/eða viðurkennt öryggisferli.

  • Gott: Svar frá öryggissértæku tölvupóstfangi, eins og „security@example.com".

  • Til dæmis eru þetta slæm: Svar frá almennu tölvupóstfangi, eins og „help@example.com", eða frá einhverjum sem er ekki viðurkenndur öryggissérfræðingur.

Láttu finnandann vita að vandamálið sé viðurkennt sem öryggisskýrsla.

  • Gott: Öryggissértækt orðalag, eins og „Öryggisteymi okkar hefur móttekið skýrslu þína um ábyrga birtingu", eða „Öryggisferli okkar hefur þessi næstu skref", eða „Upplýsingar þínar eru nú í öryggisrakningarkerfi okkar með auðkennisnúmerinu XYZ" o.s.frv.

  • Slæmt: Almennt orðalag, eins og „Við kunnum að meta viðskipti þín", eða „Við tökum öryggi alvarlega", orðalag sem varpar ábyrgð yfir á aðra eins og „Við sendum tölvupóstinn þinn til annarrar deildar" o.s.frv.

Skref 3: Vinndu í góðri trú

Skref 3 er fyrir finnandann og framleiðandann saman: vinnið í góðri trú.

Skildu að samræmd birting öryggisveikleika lýsir ferli sem byggir á góðri trú.

  • Markmið nr. 1 er góð trú til að hjálpa notendum að vernda sig gegn öryggisáhættu.

  • Markmið nr. 2 er góð trú til að takast á við öryggisvandamálið.

  • Finnandinn og/eða framleiðandinn getur í góðri trú valið að fá aðra öryggisaðila að málinu, til dæmis með því að hafa samband við aðra viðeigandi öryggisrannsakendur til að hjálpa við vandamálið.

Skildu að samræmd birting öryggisveikleika skapar engar skuldbindingar.

  • Finnandinn og/eða framleiðandinn getur hætt þátttöku hvenær sem er, af hvaða ástæðu sem er, með eða án viðvörunar. Það er kurteisi að halda öllum viðkomandi upplýstum og uppfærðum, en það er ekki alltaf mögulegt, hagnýtt eða æskilegt.

  • Samræmd birting öryggisveikleika skapar ekkert lagalegt samkomulag. Ef finnandinn og framleiðandinn hafa þegar lagalegt samkomulag mælum við með að allir sem hlut eiga að máli ráðfæri sig við viðeigandi lögfræðinga; ekki nota þetta skjal sem lögfræðiráðgjöf.

Skildu að samræmd birting öryggisveikleika miðar að því að nota góð samskipti og hafna hótunum.

  • Samræmd birting öryggisveikleika er best þegar allir sem hlut eiga að máli skilja að markmið nr. 1 er að hjálpa notendum að vernda sig gegn öryggisáhættu og markmið nr. 2 er að takast á við öryggisvandamálið.

  • Samræmd birting öryggisveikleika hafnar hvers kyns hótunum um hefnd, hræðslu, frestun, afturköllun, fjárkúgun, eftirfylgnibyrði eða því að kenna fórnarlambinu um.

Skildu að samræmd birting öryggisveikleika getur þýtt ólíka hluti fyrir ólíkt fólk.

  • Finnandinn og framleiðandinn geta haft ólíkan skilning á samræmdri birtingu öryggisveikleika. Þessi skilningur þarf ekki að fara saman. Góð trú felur í sér að allir sem hlut eiga að máli skilji þetta.

  • Sumir framleiðendur birta stefnur um samræmda birtingu öryggisveikleika. Þær geta verið gagnlegar leiðbeiningar. Ef finnandinn velur að nota aðra tegund samræmdrar birtingar öryggisveikleika, eða hefur annan skilning á ábyrgri birtingu, er það alveg í lagi.

Skildu að venjulega er finnandinn að gera útgefandanum greiða.

  • Venjulega þarf finnandinn ekki leyfi neins til að birta veikleika.

  • Venjulega hjálpa upplýsingar finnandans útgefandanum.

Staðfestu árangur

Eftir að vandamálið hefur verið leyst verður framleiðandinn að staðfesta árangur.

  • Tókst öllu fólki og ferlum að meðhöndla birtinguna með góðum árangri? Ef svo er, gott. Ef ekki, íhugaðu þá að gera eftirmálsrannsókn, svo sem rótarorsakagreiningu (RCA), eftirá-skýrslur (post-mortem), Ishikawa-skýringarmyndir eða orsakagreiningu byggða á kerfiskenningu (CAST).

  • Eru óleyst vandamál flokkuð (triage) og rakin?

  • Skilja framleiðandinn og finnandinn báðir hvað á að gera í næstu skrefum? Það er sérstaklega mikilvægt að gera þetta rétt ef vera kynni að frekari samræmdar birtingar öryggisveikleika fylgdu í kjölfarið.

Leiðbeiningar

Leiðbeiningar um samræmda birtingu öryggisveikleika geta komið frá mörgum sviðum, svo sem siðfræðingum, lagalegum málsvörum, eðlilegum væntingum almennings o.s.frv.

Ef þú leitar leiðbeininga gætirðu haft áhuga á þessum þremur sviðum, sem öll eru lýst hér að neðan.

  • Miskunnsami Samverjinn

  • Björgunarskylda

  • Aðgæsluskylda

Miskunnsami Samverjinn

Wikipedia: Good Samaritan law

Lög um miskunnsama Samverjann veita lagalega vernd þeim sem veita eðlilega aðstoð þeim sem eru, eða þeir telja vera, slasaðir, veikir, í hættu eða á annan hátt ófærir um að bjarga sér. Verndinni er ætlað að draga úr hik viðstaddra við að aðstoða af ótta við að verða sóttir til saka eða ákærðir.

Björgunarskylda

Wikipedia: Duty to rescue

Björgunarskylda er hugtak sem lýsir aðstæðum þar sem aðili getur orðið ábyrgur fyrir því að koma ekki öðrum aðila í hættu til bjargar. Björgunarskylda getur haft siðferðilegar og/eða lagalegar hliðar.

Aðgæsluskylda

Wikipedia: Duty of care

Aðgæsluskylda er skylda til að fylgja staðli um eðlilega aðgát við hvers kyns athafnir sem fyrirsjáanlega gætu skaðað aðra. Aðgæsluskylda getur haft siðferðilegar og/eða lagalegar hliðar. Nokkur atriði sem þarf að hafa í huga eru: fyrirsjáanleiki tjóns eða meiðsla, hugsanleg stærð mögulegs tjóns eða meiðsla, mikilvægi eða samfélagslegt gildi athafnarinnar sem stefndi stundar, notagildi háttseminnar fyrir stefnda, gerlegleiki annarrar háttsemi, kostnaður og byrðar tengdar annarri háttsemi, hlutfallslegt notagildi annarrar háttsemi og hlutfallslegt öryggi annarrar háttsemi.

Sérstök tilvik

Öryggisteymi okkar hafa séð fjölbreytt úrval sérstakra tilvika.

Við lýsum þeim hér til að hjálpa fólki að skilja hvar skoðanir eru mjög skiptar um hvað kann að vera í lagi og hvað ekki. Við mælum með að allir sem hlut eiga að máli ræði þetta í góðri trú.

Aðgangur að upplýsingum annarra notenda

Dæmi: Þú uppgötvar að vefslóð inniheldur notandaauðkenni þitt og afhjúpar villu, og þú telur þig geta breytt vefslóðinni til að skipta notandaauðkenni þínu út fyrir annað notandaauðkenni.

  • Er í lagi að finnandinn geri þetta, til dæmis með það eina markmið að komast að því hvort þetta hafi líka áhrif á aðra notendur?

  • Er mikilvægara að skilja fljótt umfang áhættunnar fyrir alla notendur en að vernda nokkra notendur sem upplýsingar um gætu þegar verið sýnilegar tölvuþrjótum?

  • Er í lagi að finnandinn geri þetta við eins marga notendur og þú vilt?

  • Er í lagi að finnandinn reyni að hafa samband við notendur til að láta þá vita að þeir séu fyrir áhrifum? Er í lagi að bjóða tillögur um mótvægisaðgerðir?

Þjónustuhömlun

Dæmi: Þú uppgötvar villu sem stöðvar reikninginn þinn óvart, til dæmis með því að virkja lykilorðalæsingu.

  • Telst þetta vera þjónustuhömlunarárás?

Óumbeðinn tölvupóstur

Dæmi: Þú reynir að tilkynna öryggisvandamál til fólks í fyrirtækinu sem þú telur viðeigandi og sem þú finnur með því að leita á LinkedIn, Facebook o.s.frv., eða með því að nota nafnavenjur eins og „webmaster@example.com" eða „security@example.com".

  • Er þetta í lagi?

  • Telst þetta vera óumbeðinn tölvupóstur?

  • Telst þetta vera óheimilaður tölvupóstur?

Útilokaðir hópar

Dæmi: Þú ert í útilokuðum hópi, svo sem ólögráða, eða á refsiaðgerðalista, eða í landi á refsiaðgerðalista.

  • Er í lagi að þú gerir skýrslu?

  • Er í lagi að tilkynna nafnlaust?

  • Er í lagi að breyta vísvitandi upplýsingum sem gætu borið kennsl á þig, til dæmis til að sleppa undan útilokaða hópnum, og með það markmið að hjálpa birtingunni að ná til réttra aðila?

Þriðji aðili

Dæmi: Þú uppgötvar að hugbúnaður fyrirtækis hefur villu sem varðar þriðja aðila, svo sem samþættingu við annan hugbúnað eða annað vefsvæði.

  • Er í lagi að þú tilkynnir allar upplýsingarnar sem þú finnur til beggja aðila?

  • Er nauðsynlegt að gera tvær ólíkar ábyrgar birtingar, til dæmis eina skýrslu til eins fyrirtækis og aðra skýrslu til fyrirtækis þriðja aðila, með það markmið að takmarka upplýsingarnar sem hvoru fyrirtæki eru sendar?

  • Er í lagi að finnandinn setji fyrirtækin í samband hvort við annað?

Truflandi hugbúnaður

Dæmi: Þú ert nógu fær til að geta skrifað vírus sem þú telur líklegan til að hjálpa notendum að vernda sig gegn öryggisáhættunni, eða greina hvort þeir séu í hættu, eða laga öryggisáhættuna.

  • Er þetta í lagi?

  • Er í lagi að finnandinn vísi notendum á hugbúnað sem þennan og/eða á leiðbeiningar eða kennsluefni sem lýsir hvernig á að búa til slíkan hugbúnað?

Samræmd birting öryggisveikleika í samanburði við ábyrga birtingu

Samræmd birting öryggisveikleika er æskilega hugtakið.

  • Mikilvægasta atriðið er samræmingin milli finnanda og framleiðanda.

Ábyrg birting (responsible disclosure) er úrelt hugtak.

  • Fólk hefur ólíkar skoðanir á því hvað það þýðir að vera ábyrgur. Til dæmis halda sumir því fram að það sé ábyrgt að finnandinn láti almenning vita strax óháð öllum samskiptum við framleiðandann, og ábyrgðarlaust að gera samræmda birtingu öryggisveikleika því hún leynir upplýsingum fyrir almenningi.

Rakning