Coordinated vulnerability disclosure

Koordinuotas pažeidžiamumų atskleidimas (CVD)

Kaip pranešti apie saugumo spragas, jas priimti ir koordinuoti, su politikų pavyzdžiais.

Koordinuotas pažeidžiamumų atskleidimas (angl. coordinated vulnerability disclosure, CVD) – kompiuterių saugumo terminas. Jis apibūdina, kaip žmonės gali dalytis pranešimais apie saugumo problemas. Pavyzdžiai: pranešimai apie klaidas, įsilaužimo rizikas, įspėjimai apie įsilaužėlius, duomenų nutekėjimai, svetainių pažeidimai ir pan.

Vertimai: العربية, Български, বাংলা, Čeština, Cymraeg, Dansk, Deutsch, Ελληνικά, English, Español, Eesti, Euskara, فارسی, Suomi, Français, Gaeilge, Gàidhlig, ગુજરાતી, Hausa, עברית, हिन्दी, Hrvatski, Magyar, Bahasa Indonesia, Íslenska, Italiano, 日本語, 한국어, Lietuvių, Latviešu, Nederlands, Polski, Português, Română, Русский, Slovenčina, Slovenščina, Svenska, Kiswahili, ไทย, Türkçe, Українська, اردو, Tiếng Việt, 中文

Turinys:

Politikos:

Įvadas

Šiame dokumente paaiškinama, kaip veikia koordinuotas pažeidžiamumų atskleidimas, kad žmonėms būtų lengviau dirbti kartu.

Dokumento tikslai:

  1. Padėti žmonėms, kurie aptinka saugumo problemų ir nori apie jas pranešti.

  2. Padėti įmonių atstovams suprasti atsakingo atskleidimo poreikius, tikslus, praktiką ir ypatingus atvejus.

  3. Į saugyklos aplanką įtraukti koordinuoto pažeidžiamumų atskleidimo politikų pavyzdžių.

Laukiame pull request pasiūlymų, GitHub issues arba laiškų adresu security@joelparkerhenderson.com.

Kas yra koordinuotas pažeidžiamumų atskleidimas?

Koordinuotas pažeidžiamumų atskleidimas apima tris žingsnius, kai kas nors aptinka saugumo problemą (pavyzdžiui, programinės įrangos klaidą) ir nori apie ją pranešti gamintojui (pavyzdžiui, įmonei, kuri kuria programinę įrangą).

Žingsniai:

  1. Atradėjas sąžiningai ir privačiai praneša apie problemą gamintojui.

  2. Gamintojas sąžiningai stengiasi apsaugoti naudotojus ir išspręsti problemą.

  3. Praėjus nustatytam laikui, saugumo problema paskelbiama viešai.

1 žingsnis: pranešti apie problemą

1 žingsnis skirtas atradėjui: sąžiningai ir privačiai pranešti apie problemą.

  • Gerai: atradėjas nusiunčia svarbią informaciją gamintojui, pavyzdžiui, el. paštu gamintojo saugumo adresu (paprastai „security@example.com“) arba per interneto formą gamintojo svetainėje (paprastai „https://www.example.com/security“).

  • Blogai: skelbti pranešimą viešame tinklaraštyje, informuoti žiniasklaidą, grasinti arba bandyti parduoti saugumo problemą įsilaužėliams ir pan.

  • Patarimas: atradėjas gali pasirinkti likti anonimiškas; gamintojas taip pat gali pasirinkti likti anonimiškas.

Jei norite, ir toliau sekite problemą.

  • Gerai: užmegzti bendravimo kanalus, pateikti papildomos informacijos arba stebėti padėtį.

  • Blogai: pamiršti problemą.

  • Patarimas: atradėjas gali pasirinkti padėti arba ne, taip pat gali pasirinkti bendrauti arba ne, o pasikeitus aplinkybėms – pakeisti susitarimą.

Jei norite, atskleiskite problemą kitiems.

  • Gerai: palaukti nurodytą laiką ir tada paskelbti viešai, pavyzdžiui, paskelbti svarbią informaciją saugumo naujienų svetainėje, susisiekti su susijusiais trečiųjų šalių saugumo tyrėjais arba paskelbti apie problemą bet kurioje viešoje socialinėje svetainėje ir pan.

  • Blogai: neatskleisti problemos kitiems, nebent manote, kad tai kelia didesnę nei palyginamą riziką jums ar kitiems.

  • Patarimas: jei aplinkybės pasikeičia, pavyzdžiui, išaiškėja didesnė rizika arba aktyvus išnaudojimas realiame pasaulyje, atradėjas gali atskleisti problemą kitiems anksčiau.

2 žingsnis: užtikrinti kontaktus.

2 žingsnis skirtas gamintojui: užtikrinti, kad kontaktai veiktų.

  • Gerai: gamintojas paskelbia saugumo kontaktinį el. pašto adresą (įprastai „security@example.com“) ir, geriausia, saugų el. pašto šifravimo raktą.

  • Gerai: gamintojas paskelbia saugumo kontaktinį tinklalapį (įprastai „https://www.example.com/security“) ir, geriausia, pasirūpina, kad jį būtų lengva rasti, pavyzdžiui, svetainės apatinėje dalyje, svetainės žemėlapyje ir paieškoje.

  • Blogai: gamintojas nepateikia el. pašto adreso ar tinklalapio arba jų nėra lengva rasti.

Užtikrinkite darbuotojų gebėjimus.

  • Gerai: gamintojas apmoko pagalbos darbuotojus, ką daryti gavus saugumo užklausą, pavyzdžiui, kaip atsakyti pateikiant kontaktinę informaciją arba kaip persiųsti užklausą tinkamai vidinei komandai.

  • Gerai: gamintojas periodiškai tikrina, ar darbuotojų gebėjimai veikia.

  • Blogai: gamintojas neapmoko arba netikrina.

Atsakykite atradėjui per nustatytą laiką.

  • Jei atradėjas nenurodo termino, naudokite vieną darbo dieną, nes tai yra pramonės standartas ir dabartinė geriausia pramonės praktika.

  • Jei atradėjas užduoda klausimų, atsakykite į juos. Tai ypač svarbu, jei atradėjas prašo leidimo testuoti. Įsitikinkite, kad visi atsakymai aiškūs ir tiesioginiai.

Atsakykite atradėjui per įgaliotą saugumo kontaktą ir (arba) įgaliotą saugumo procesą.

  • Gerai: atsakymas iš specialaus saugumo el. pašto adreso, pavyzdžiui, „security@example.com“.

  • Blogi pavyzdžiai: atsakymas iš bendrosios paskirties el. pašto adreso, pavyzdžiui, „help@example.com“, arba iš bet ko, kas nėra įgaliotas saugumo specialistas.

Atsakykite atradėjui, kad problema pripažinta saugumo pranešimu.

  • Gerai: saugumui būdinga formuluotė, pavyzdžiui, „Mūsų saugumo komanda gavo jūsų atsakingo atskleidimo pranešimą“, arba „Mūsų saugumo procese tolesni žingsniai tokie“, arba „Jūsų informacija dabar yra mūsų saugumo sekimo sistemoje su numeriu XYZ“ ir pan.

  • Blogai: bendra formuluotė, pavyzdžiui, „Vertiname jūsų verslą“ arba „Saugumą vertiname rimtai“, taip pat atsakomybės perkėlimo formuluotė, pavyzdžiui, „Jūsų laišką persiuntėme kitam skyriui“.

3 žingsnis: veikti sąžiningai

3 žingsnis skirtas atradėjui ir gamintojui kartu: veikti sąžiningai.

Supraskite, kad koordinuotas pažeidžiamumų atskleidimas yra sąžiningo elgesio procesas.

  • 1-as tikslas – sąžiningai padėti naudotojams apsisaugoti nuo saugumo rizikų.

  • 2-as tikslas – sąžiningai išspręsti saugumo problemą.

  • Atradėjas ir (arba) gamintojas gali sąžiningai nuspręsti pasitelkti kitus saugumo specialistus, pavyzdžiui, susisiekti su kitais susijusiais saugumo tyrėjais, kad padėtų išspręsti problemą.

Supraskite, kad koordinuotas pažeidžiamumų atskleidimas nesukuria jokių įsipareigojimų.

  • Atradėjas ir (arba) gamintojas gali bet kada pasitraukti dėl bet kokios priežasties, su įspėjimu arba be jo. Mandagu informuoti visus susijusius žmones ir laikyti juos informuotus, tačiau tai ne visada įmanoma, praktiška ar pageidautina.

  • Koordinuotas pažeidžiamumų atskleidimas nesukuria jokio teisinio susitarimo. Jei atradėjas ir gamintojas jau turi teisinį susitarimą, siūlome visiems dalyviams pasikonsultuoti su atitinkamais teisininkais; nenaudokite šio dokumento kaip teisinės konsultacijos.

Supraskite, kad koordinuoto pažeidžiamumų atskleidimo tikslas – gerai bendrauti ir atmesti grasinimus.

  • Koordinuotas pažeidžiamumų atskleidimas geriausiai veikia, kai visi dalyviai supranta, kad 1-as tikslas – padėti naudotojams apsisaugoti nuo saugumo rizikų, o 2-as tikslas – išspręsti saugumo problemą.

  • Koordinuotas pažeidžiamumų atskleidimas atmeta bet kokias keršto, bauginimo, sustabdymo, panaikinimo, turto prievartavimo, pareigos vykdyti tolesnius veiksmus ar aukos kaltinimo grėsmes.

Supraskite, kad koordinuotas pažeidžiamumų atskleidimas skirtingiems žmonėms gali reikšti skirtingus dalykus.

  • Atradėjas ir gamintojas gali skirtingai suprasti koordinuotą pažeidžiamumų atskleidimą. Šie supratimai gali nesutapti. Sąžiningumas apima tai, kad visi dalyviai tai supranta.

  • Kai kurie gamintojai skelbia koordinuoto pažeidžiamumų atskleidimo politikas. Jos gali būti naudingos kaip gairės. Jei atradėjas pasirenka kitokį koordinuotą pažeidžiamumų atskleidimą arba kitaip supranta atsakingą atskleidimą, tai visiškai gerai.

Supraskite, kad paprastai atradėjas daro paslaugą leidėjui.

  • Paprastai atradėjui nereikia niekieno leidimo skelbti pažeidžiamumus.

  • Paprastai atradėjo informacija padeda leidėjui.

Sėkmės patikra

Kai problema išspręsta, gamintojas turi patikrinti, ar pavyko.

  • Ar visi žmonės ir procesai sėkmingai susitvarkė su atskleidimu? Jei taip, gerai. Jei ne, apsvarstykite galimybę atlikti poveikio analizę, pavyzdžiui, pagrindinių priežasčių analizę (RCA), pokyčių ataskaitas (post-mortem), Išikavos diagramas arba sistemų teorija grįstą priežastinę analizę (CAST).

  • Ar likusios problemos įvertintos ir sekamos?

  • Ar gamintojas ir atradėjas abu supranta, ką daryti atliekant tolesnius veiksmus? Tai ypač svarbu padaryti teisingai, jei gali būti tolesnių koordinuotų pažeidžiamumų atskleidimų.

Gairės

Gairių koordinuotam pažeidžiamumų atskleidimui gali teikti įvairios sritys, pavyzdžiui, etikos ekspertai, teisės gynėjai, pagrįsti visuomenės lūkesčiai ir pan.

Jei ieškote gairių, jus gali dominti šios trys sritys, aprašytos žemiau.

  • Gerasis samarietis

  • Pareiga gelbėti

  • Rūpestingumo pareiga

Gerasis samarietis

Wikipedia: Good Samaritan law

Gerojo samariečio įstatymai suteikia teisinę apsaugą žmonėms, kurie protingai padeda tiems, kurie yra arba, jų manymu, yra sužeisti, sergantys, pavojuje ar kitaip nepajėgūs veikti. Apsauga skirta sumažinti pašalinių asmenų dvejones padėti iš baimės būti paduotiems į teismą ar patrauktiems baudžiamojon atsakomybėn.

Pareiga gelbėti

Wikipedia: Duty to rescue

Pareiga gelbėti – tai sąvoka, apibūdinanti aplinkybes, kuriomis šaliai gali tekti atsakomybė už tai, kad ji nepadėjo kitai pavojuje atsidūrusiai šaliai. Pareiga gelbėti gali turėti moralinių ir (arba) teisinių aspektų.

Rūpestingumo pareiga

Wikipedia: Duty of care

Rūpestingumo pareiga – tai prievolė laikytis pagrįsto rūpestingumo standarto atliekant bet kokius veiksmus, galinčius numatomai pakenkti kitiems. Rūpestingumo pareiga gali turėti moralinių ir (arba) teisinių aspektų. Svarstytini aspektai: žalos ar sužalojimo numatomumas, galimos žalos ar sužalojimo dydis, atsakovo vykdomos veiklos svarba ar socialinė vertė, atsakovo elgesio naudingumas jam pačiam, alternatyvaus elgesio įgyvendinamumas, su alternatyviu elgesiu susijusios išlaidos ir našta, santykinis alternatyvaus elgesio naudingumas ir santykinis alternatyvaus elgesio saugumas.

Ypatingi atvejai

Mūsų saugumo komandos yra susidūrusios su daugybe ypatingų atvejų.

Juos aprašome čia, kad padėtume žmonėms suprasti, kur nuomonės dėl to, kas gali būti priimtina, o kas ne, labai skiriasi. Rekomenduojame visiems dalyviams apie tai bendrauti sąžiningai.

Prieiga prie kitų naudotojų informacijos

Pavyzdys: aptinkate, kad URL adrese yra jūsų naudotojo ID, tai atskleidžia klaidą ir jūs manote, kad galite pakeisti URL, pakeisdami savo naudotojo ID kito naudotojo ID.

  • Ar atradėjui tai daryti priimtina, pavyzdžiui, vieninteliu tikslu išsiaiškinti, ar tai veikia ir kitus naudotojus?

  • Ar svarbiau greitai suprasti rizikos mastą visiems naudotojams nei apsaugoti kelis naudotojus, kurių informaciją įsilaužėliai gali jau matyti?

  • Ar atradėjui priimtina tai daryti su tiek naudotojų, kiek tik nori?

  • Ar atradėjui priimtina bandyti susisiekti su naudotojais ir pranešti jiems, kad jie paveikti? Ar priimtina pasiūlyti rizikos mažinimo patarimų?

Paslaugos trikdymas

Pavyzdys: aptinkate klaidą, dėl kurios netyčia sustabdoma jūsų paskyra, pavyzdžiui, suveikia slaptažodžio užraktas.

  • Ar tai laikoma paslaugos trikdymo (denial of service) ataka?

Nepageidaujamas el. paštas

Pavyzdys: bandote pranešti apie saugumo problemą įmonės žmonėms, kurie, jūsų manymu, yra tinkami ir kuriuos randate tyrinėdami LinkedIn, Facebook ir pan. arba naudodami pavadinimų konvencijas, pavyzdžiui, „webmaster@example.com“ ar „security@example.com“.

  • Ar tai priimtina?

  • Ar tai laikoma nepageidaujamu el. paštu?

  • Ar tai laikoma neleistinu el. paštu?

Neįtrauktos grupės

Pavyzdys: priklausote neįtrauktai grupei, pavyzdžiui, esate nepilnametis arba esate sankcijų sąraše, arba esate šalyje, kuri yra sankcijų sąraše.

  • Ar jums priimtina pateikti pranešimą?

  • Ar priimtina pranešti anonimiškai?

  • Ar priimtina sąmoningai pakeisti galimai identifikuojančią informaciją, pavyzdžiui, kad išvengtumėte neįtrauktos grupės, siekiant padėti atskleidimui pasiekti tinkamus žmones?

Trečioji šalis

Pavyzdys: aptinkate, kad įmonės programinėje įrangoje yra klaida, susijusi su trečiąja šalimi, pavyzdžiui, integracija su kita programine įranga ar kita svetaine.

  • Ar jums priimtina pranešti visą rastą informaciją abiem šalims?

  • Ar būtina atlikti du skirtingus atsakingus atskleidimus, pavyzdžiui, vieną pranešimą vienai įmonei, o kitą – trečiosios šalies įmonei, siekiant apriboti kiekvienai įmonei siunčiamą informaciją?

  • Ar atradėjui priimtina supažindinti įmones tarpusavyje?

Trikdanti programinė įranga

Pavyzdys: esate pakankamai įgudę parašyti virusą, kuris, jūsų manymu, greičiausiai padės naudotojams apsisaugoti nuo saugumo rizikos, nustatyti, ar jiems gresia pavojus, arba ištaisyti saugumo riziką.

  • Ar tai priimtina?

  • Ar atradėjui priimtina nukreipti naudotojus į tokią programinę įrangą ir (arba) į vadovus ar mokymus, kuriuose aprašoma, kaip sukurti tokią programinę įrangą?

Koordinuotas pažeidžiamumų atskleidimas ir atsakingas atskleidimas

Koordinuotas pažeidžiamumų atskleidimas yra pageidaujamas terminas.

  • Svarbiausias aspektas – atradėjo ir gamintojo koordinavimas.

Atsakingas atskleidimas yra nebenaudojamas terminas.

  • Žmonės skirtingai supranta, ką reiškia būti atsakingam. Pavyzdžiui, kai kurie mano, kad atradėjui atsakinga nedelsiant informuoti visuomenę, nepaisant bet kokios sąveikos su gamintoju, o koordinuotas pažeidžiamumų atskleidimas neatsakingas, nes slepia informaciją nuo visuomenės.

Sekimas