Coordinated vulnerability disclosure
← 정책

CERT: 취약점 공개 정책

CERT/CC에 보고된 취약점은 영향을 받는 벤더의 패치나 우회 방법이 존재하거나 이용 가능한지와 관계없이 최초 보고 45일 후에 대중에게 공개됩니다. 실제 악용 중인 경우, 특히 심각한(또는 사소한) 성격의 위협, 확립된 표준의 변경이 필요한 상황 같은 특별한 사정이 있으면 더 일찍 또는 더 늦게 공개될 수 있습니다. CERT/CC의 공개에는 보고자가 달리 요청하지 않는 한 보고자에 대한 감사 표기가 포함됩니다. 영향을 받는 벤더에게는 저희의 공개 계획을 알리고, 필요한 경우 영향을 받는 벤더와 대체 공개 일정을 협의합니다.

이 정책의 목표는 보안 취약점에 대해 알아야 할 대중의 필요와, 효과적으로 대응하기 위해 시간이 필요한 벤더의 요구 사이에서 균형을 맞추는 것입니다. 공개 일정의 최종 결정은 커뮤니티 전체의 최선의 이익에 근거합니다.

저희에게 보고된 취약점은 보고를 받은 후 실행 가능한 한 빨리 영향을 받는 벤더에게 전달됩니다. 보고자의 이름과 연락처 정보는 보고자가 달리 요청하지 않는 한 영향을 받는 벤더에게 전달됩니다. 기밀로 저희에게 제공된 정보를 드러내지 않는 범위에서, 보고자가 보고한 취약점의 상태에 중요한 변화가 있으면 보고자에게 알려 드립니다.

취약점은 취약점 노트(Vulnerability Notes)로 공개됩니다.

미국 정부 웹사이트에 대한 취약점 보고서는 정부와의 조율을 위해 US-CERT로 전달됩니다.

자주 묻는 질문

Q: 이것은 CERT/CC가 "전체 공개(full disclosure)"로 간다는 뜻인가요?

A: "전체 공개"가 익스플로잇을 배포하는 것을 뜻한다면, 저희는 익스플로잇을 배포하지 않습니다. 저희의 경험상 익스플로잇을 이용할 수 있게 되어 이득을 보는 사람의 수는, 익스플로잇을 악의적으로 사용하는 사람들 때문에 피해를 입는 사람의 수에 비해 적습니다. 다만 이전에는 공개하지 않았을 수 있는 취약점에 대한 정보는 공개할 것입니다. 저희 자원이 허락하는 한도 내에서 가능한 한 많은 취약점에 대한 정보를 게시할 것입니다.

Q: 왜 30일이나 15일, 또는 즉시가 아닌가요?

A: 큰 조직에게 45일은 꽤 빠듯한 기한일 수 있다고 생각합니다. 이를 더 짧게 하는 것은 현실적으로 문제 해결에 도움이 되지 않습니다. 악용의 증거가 없는 상황에서 취약점을 불필요하게 발표하는 것은 공공 안전에 최선이 아닐 수 있습니다.

Q: 수정이 없다면 취약점을 조용히 두는 것이 더 낫지 않나요?

A: 취약점은 일상적으로 발견되고 공개되며, 벤더가 수정을 제공할 공정한 기회를 갖기 전인 경우가 많고, 공개에 작동하는 익스플로잇이 포함되는 경우도 많습니다. 저희의 경험상 책임 있고 적절한 취약점 정보 공개가 없으면, 취약점을 발견한 연구자, 프로그래머, 시스템 관리자 등 IT 전문가들은 벤더가 문제를 해결하도록 압박하기 위해 정보를 공개하는 것 외에는 선택지가 없다고 느끼는 경우가 많습니다.

Q: 모든 취약점이 45일 안에 공개되나요?

A: 아니요. 저희의 공개 일정을 조정하게 되는 사정이 자주 있을 수 있습니다. 특히 심각하거나 악용의 증거가 있는 위협은 공개 일정을 단축하게 될 가능성이 높습니다. "어려운" 변경(표준의 변경, 핵심 운영체제 구성 요소의 변경)이 필요한 위협은 공개 일정을 연장하게 됩니다. 저희에게 보고된 모든 취약점을 게시하지는 않을 수 있습니다.

Q: 벤더에게 취약점 발표로 불시에 놀라게 하나요?

A: 아니요. 공개에 앞서 저희의 의도를 벤더에게 알리기 위해 선의로 노력합니다.

Q: 벤더가 문제에 대한 귀하의 평가에 동의하지 않으면 그 정보도 공개되나요?

A: 예. 인증된 벤더의 성명을 요청하여 게시하고, 취약점 노트에서 관련 벤더 정보를 참조합니다. 벤더가 제공한 정보가 문제에 대한 저희의 평가와 다르다는 이유만으로 그것을 숨기지는 않습니다.

Q: 공개 이전에 누가 정보를 받나요?

A: 일반적으로 해결에 기여할 수 있고 신뢰 관계가 있는 모든 사람에게 정보를 제공합니다. 여기에는 벤더(제품에 취약점이 없는 벤더를 포함하는 경우가 많음), 커뮤니티 전문가, 후원자, 그리고 위험하다고 판단되는 경우 국가 핵심 기반 시설의 일부인 사이트가 포함됩니다.

Q: 보고된 모든 취약점을 공개하나요?

A: 아니요. 저희 재량으로 취약점 보고서의 조율이나 게시를 거부할 수 있습니다. 이 결정은 일반적으로 취약점의 범위와 심각도, 그리고 조율 및 공개 과정에 가치를 더할 수 있는 저희의 능력에 근거합니다. 저희가 조율이나 게시를 하든 하지 않든, 보고자가 공개 이전에 영향을 받는 벤더에게 알리고 직접 협력하도록 선의로 노력할 것을 권합니다.