Coordinated vulnerability disclosure
← Policy

CERT: policy di divulgazione delle vulnerabilità

Le vulnerabilità segnalate al CERT/CC saranno rese pubbliche 45 giorni dopo la segnalazione iniziale, indipendentemente dall'esistenza o dalla disponibilità di patch o soluzioni alternative da parte dei fornitori interessati. Circostanze attenuanti, come lo sfruttamento attivo, minacce di natura particolarmente grave (o banale) o situazioni che richiedono modifiche a uno standard consolidato, possono comportare una divulgazione anticipata o posticipata. Le divulgazioni effettuate dal CERT/CC includeranno il riconoscimento al segnalatore, salvo diversa richiesta del segnalatore. Informeremo i fornitori interessati dei nostri piani di pubblicazione e negozieremo calendari di pubblicazione alternativi con i fornitori interessati quando necessario.

L'obiettivo di questa policy è bilanciare l'esigenza del pubblico di essere informato sulle vulnerabilità di sicurezza con l'esigenza dei fornitori di avere tempo per rispondere in modo efficace. La determinazione finale di un calendario di pubblicazione si baserà sul miglior interesse della comunità nel suo complesso.

Le vulnerabilità segnalate a noi saranno inoltrate ai fornitori interessati non appena possibile dopo la ricezione della segnalazione. Il nome e le informazioni di contatto del segnalatore saranno inoltrati ai fornitori interessati, salvo diversa richiesta del segnalatore. Informeremo il segnalatore dei cambiamenti significativi nello stato di qualsiasi vulnerabilità da lui segnalata, nella misura possibile senza rivelare informazioni fornite a noi in via riservata.

Le vulnerabilità saranno divulgate nelle Vulnerability Notes.

Le segnalazioni di vulnerabilità per i siti web del governo degli Stati Uniti saranno inoltrate a US-CERT per il coordinamento con il governo.

Domande frequenti

D: Questo significa che il CERT/CC adotta la "full disclosure"?

R: Non distribuiremo exploit, se è questo che significa "full disclosure". Nella nostra esperienza, il numero di persone che possono trarre beneficio dalla disponibilità di exploit è piccolo rispetto al numero di persone danneggiate da chi usa gli exploit in modo malevolo. Divulgheremo però informazioni su vulnerabilità che in precedenza potremmo non aver divulgato. Nei limiti delle nostre risorse, pubblicheremo informazioni sul maggior numero possibile di vulnerabilità.

D: Perché non 30 giorni, o 15 giorni, o immediatamente?

R: Riteniamo che 45 giorni possano essere una scadenza piuttosto difficile da rispettare per una grande organizzazione. Accorciarla non aiuterebbe realisticamente il problema. In assenza di prove di sfruttamento, annunciare gratuitamente le vulnerabilità potrebbe non essere nel miglior interesse della sicurezza pubblica.

D: Non sarebbe meglio mantenere riservate le vulnerabilità se non è disponibile una correzione?

R: Le vulnerabilità vengono scoperte e divulgate regolarmente, spesso prima che i fornitori abbiano avuto una ragionevole opportunità di fornire una correzione, e la divulgazione include spesso exploit funzionanti. Nella nostra esperienza, se non c'è una divulgazione responsabile e qualificata delle informazioni sulle vulnerabilità, i ricercatori, i programmatori, gli amministratori di sistema e altri professionisti IT che scoprono vulnerabilità spesso sentono di non avere altra scelta che rendere pubbliche le informazioni nel tentativo di costringere i fornitori ad affrontare il problema.

D: Tutte le vulnerabilità saranno divulgate entro 45 giorni?

R: No. Spesso possono esserci circostanze che ci portano a modificare il nostro calendario di pubblicazione. Minacce particolarmente gravi o per le quali abbiamo prove di sfruttamento probabilmente ci porteranno ad accorciare il nostro calendario di rilascio. Minacce che richiedono modifiche "difficili" (modifiche a standard, modifiche a componenti centrali del sistema operativo) ci porteranno ad allungare il nostro calendario di pubblicazione. Potremmo non pubblicare ogni vulnerabilità che ci viene segnalata.

D: Sorprenderete i fornitori con annunci di vulnerabilità?

R: No. Prima della divulgazione pubblica, faremo uno sforzo in buona fede per informare i fornitori delle nostre intenzioni.

D: Se un fornitore non è d'accordo con la vostra valutazione di un problema, quell'informazione sarà disponibile?

R: Sì. Richiediamo e pubblichiamo dichiarazioni autenticate dei fornitori e rimandiamo alle informazioni pertinenti dei fornitori nelle vulnerability notes. Non tratterremo le informazioni fornite dal fornitore semplicemente perché non concordano con la nostra valutazione del problema.

D: Chi riceve le informazioni prima della divulgazione pubblica?

R: In genere forniamo le informazioni a chiunque possa contribuire alla soluzione e con cui abbiamo un rapporto di fiducia, inclusi i fornitori (spesso compresi i fornitori i cui prodotti non sono vulnerabili), esperti della comunità, sponsor e siti che fanno parte di un'infrastruttura critica nazionale, se riteniamo che tali siti siano a rischio.

D: Divulgate ogni vulnerabilità segnalata?

R: No. Possiamo, a nostra discrezione, rifiutarci di coordinare o pubblicare una segnalazione di vulnerabilità. Questa decisione si basa generalmente sulla portata e sulla gravità della vulnerabilità e sulla nostra capacità di aggiungere valore al processo di coordinamento e divulgazione. Che coordiniamo o pubblichiamo o meno, raccomandiamo che il segnalatore faccia uno sforzo in buona fede per notificare e lavorare direttamente con il fornitore interessato prima della divulgazione pubblica.