Coordinated vulnerability disclosure
← Stefnur

CERT: Stefna um birtingu öryggisveikleika

Veikleikar sem tilkynntir eru til CERT/CC verða birtir almenningi 45 dögum eftir fyrstu tilkynningu, óháð því hvort leiðréttingar eða lausnir frá viðkomandi framleiðendum séu til eða tiltækar. Mildandi aðstæður, svo sem virk misnotkun, ógnir af sérstaklega alvarlegum (eða léttvægum) toga eða aðstæður sem krefjast breytinga á rótgrónum staðli, geta leitt til fyrri eða síðari birtingar. Birtingar CERT/CC munu fela í sér viðurkenningu til tilkynnanda nema hann óski annars. Við munum upplýsa viðkomandi framleiðendur um útgáfuáætlanir okkar og semja um aðra útgáfutímaáætlun við viðkomandi framleiðendur þegar þörf krefur.

Markmið þessarar stefnu er að jafna þörf almennings fyrir að vera upplýstur um öryggisveikleika við þörf framleiðenda fyrir tíma til að bregðast skilvirkt við. Endanleg ákvörðun um útgáfutímaáætlun mun byggjast á hagsmunum samfélagsins í heild.

Veikleikar sem tilkynntir eru til okkar verða áframsendir til viðkomandi framleiðenda eins fljótt og hagnýtt er eftir að við fáum tilkynninguna. Nafn og samskiptaupplýsingar tilkynnanda verða áframsendar til viðkomandi framleiðenda nema tilkynnandi óski annars. Við munum upplýsa tilkynnanda um verulegar breytingar á stöðu hvers veikleika sem hann eða hún tilkynnti eftir því sem unnt er án þess að afhjúpa upplýsingar sem okkur voru veittar í trúnaði.

Veikleikar verða birtir í Vulnerability Notes.

Veikleikaskýrslur fyrir vefsvæði bandarískra stjórnvalda verða áframsendar til US-CERT til samræmingar við stjórnvöld.

Algengar spurningar

Sp.: Þýðir þetta að CERT/CC sé að fara í „fulla birtingu" (full disclosure)?

Sv.: Við munum ekki dreifa misnotkunarkóða (exploit), ef það er það sem „full birting" þýðir. Samkvæmt reynslu okkar er fjöldi þeirra sem geta notið góðs af framboði misnotkunarkóða lítill í samanburði við fjölda þeirra sem verða fyrir skaða af þeim sem nota misnotkunarkóða í illum tilgangi. Við munum hins vegar birta upplýsingar um veikleika sem við hefðum kannski ekki áður birt. Innan marka úrræða okkar munum við birta upplýsingar um eins marga veikleika og við getum.

Sp.: Hvers vegna ekki 30 dagar, eða 15 dagar, eða strax?

Sv.: Við teljum að 45 dagar geti verið frekar strangur frestur fyrir stóra stofnun. Að stytta hann mun ekki hjálpa vandamálinu í raun. Ef engar vísbendingar eru um misnotkun er tilefnislaus tilkynning um veikleika ekki endilega í þágu almannaöryggis.

Sp.: Væri ekki betra að halda veikleikum leyndum ef leiðrétting er ekki tiltæk?

Sv.: Veikleikar uppgötvast og eru birtir reglulega, oft áður en framleiðendur hafa fengið sanngjarnt tækifæri til að bjóða leiðréttingu, og birtingin felur oft í sér virkan misnotkunarkóða. Samkvæmt reynslu okkar, ef ekki er um ábyrga og hæfa birtingu veikleikaupplýsinga að ræða, finnst rannsakendum, forriturum, kerfisstjórum og öðru upplýsingatæknifólki sem uppgötvar veikleika oft að það eigi engra annarra kosta völ en að gera upplýsingarnar opinberar í tilraun til að þvinga framleiðendur til að taka á vandamálinu.

Sp.: Verða allir veikleikar birtir innan 45 daga?

Sv.: Nei. Oft geta verið aðstæður sem valda því að við breytum útgáfutímaáætlun okkar. Ógnir sem eru sérstaklega alvarlegar eða þar sem við höfum vísbendingar um misnotkun munu líklega valda því að við styttum útgáfuáætlun okkar. Ógnir sem krefjast „erfiðra" breytinga (breytinga á stöðlum, breytinga á kjarnaþáttum stýrikerfis) munu valda því að við lengjum útgáfuáætlun okkar. Við birtum ef til vill ekki alla veikleika sem tilkynntir eru til okkar.

Sp.: Munið þið koma framleiðendum á óvart með tilkynningum um veikleika?

Sv.: Nei. Áður en veikleiki er birtur opinberlega munum við gera góðfúslega tilraun til að upplýsa framleiðendur um fyrirætlanir okkar.

Sp.: Ef framleiðandi er ósammála mati ykkar á vandamáli, verða þær upplýsingar aðgengilegar?

Sv.: Já. Við óskum eftir og birtum staðfestar yfirlýsingar framleiðenda og vísum í viðeigandi upplýsingar frá framleiðendum í veikleikaskýrslum (vulnerability notes). Við munum ekki halda aftur upplýsingum frá framleiðendum einungis vegna þess að þær eru ósammála mati okkar á vandamálinu.

Sp.: Hverjir fá upplýsingarnar áður en veikleiki er birtur opinberlega?

Sv.: Almennt veitum við upplýsingarnar öllum sem geta lagt til lausnarinnar og sem við höfum traust samband við, þar á meðal framleiðendum (oft einnig framleiðendum sem vörur eru ekki berskjaldaðar), sérfræðingum samfélagsins, styrktaraðilum og vefsvæðum sem eru hluti af mikilvægum innviðum landsins, ef við teljum þau vefsvæði í hættu.

Sp.: Birtið þið alla tilkynnta veikleika?

Sv.: Nei. Við getum, að eigin vali, hafnað því að samræma eða birta veikleikaskýrslu. Þessi ákvörðun byggist almennt á umfangi og alvarleika veikleikans og getu okkar til að bæta virði við samræmingar- og birtingarferlið. Hvort sem við samræmum eða birtum eða ekki, mælum við með að tilkynnandi geri góðfúslega tilraun til að tilkynna og vinna beint með viðkomandi framleiðanda áður en veikleikinn er birtur opinberlega.