CERT: pažeidžiamumų atskleidimo politika

• Kontaktas: ?
• Svetainė: http://www.cert.org/vulnerability-analysis/vul-disclosure.cfm
• Patikrinta: 2017-09-21

Apie CERT/CC pranešti pažeidžiamumai bus viešai atskleisti praėjus 45 dienoms po pirminio pranešimo, nepaisant to, ar paveikti gamintojai turi pataisų ar apėjimo būdų. Lengvinančios aplinkybės, pavyzdžiui, aktyvus išnaudojimas, ypač rimto (arba nereikšmingo) pobūdžio grėsmės arba situacijos, kurioms reikia pakeisti nustatytą standartą, gali lemti ankstesnį ar vėlesnį atskleidimą. CERT/CC atskleidimuose bus nurodomas pranešėjo indėlis, nebent pranešėjas paprašys kitaip. Paveiktus gamintojus informuosime apie savo skelbimo planus ir prireikus derėsimės su jais dėl kitų skelbimo grafikų.

Šios politikos tikslas – suderinti visuomenės poreikį būti informuotai apie saugumo pažeidžiamumus su gamintojų poreikiu turėti laiko veiksmingai reaguoti. Galutinis sprendimas dėl skelbimo grafiko bus priimamas atsižvelgiant į bendruomenės kaip visumos interesus.

Mums pranešti pažeidžiamumai bus persiųsti paveiktiems gamintojams, kai tik praktiškai įmanoma po pranešimo gavimo. Pranešėjo vardas ir kontaktinė informacija bus persiųsti paveiktiems gamintojams, nebent pranešėjas paprašys kitaip. Pranešėją informuosime apie reikšmingus jo pranešto pažeidžiamumo būsenos pokyčius tiek, kiek įmanoma neatskleidžiant mums konfidencialiai suteiktos informacijos.

Pažeidžiamumai bus atskleidžiami Vulnerability Notes.

Pranešimai apie JAV vyriausybės svetainių pažeidžiamumus bus persiųsti US-CERT koordinuoti su vyriausybe.

Dažnai užduodami klausimai

K: Ar tai reiškia, kad CERT/CC pereina prie „visiško atskleidimo“ (full disclosure)?

A: Neplatinsime išnaudojimo priemonių (exploits), jei būtent tai reiškia „visiškas atskleidimas“. Mūsų patirtis rodo, kad žmonių, kuriems naudinga išnaudojimo priemonių prieinamybė, yra nedaug, palyginti su žmonėmis, kuriems kenkia tie, kas išnaudojimo priemones naudoja piktybiškai. Tačiau atskleisime informaciją apie pažeidžiamumus, kurių galbūt anksčiau neatskleidėme. Savo išteklių ribose skelbsime informaciją apie kuo daugiau pažeidžiamumų.

K: Kodėl ne 30 dienų, ne 15 dienų ar nedelsiant?

A: Manome, kad 45 dienos gali būti gana sunkus terminas didelei organizacijai. Trumpesnis terminas realiai nepadėtų išspręsti problemos. Nesant įrodymų apie išnaudojimą, nepagrįstas pažeidžiamumų skelbimas gali neatitikti visuomenės saugumo interesų.

K: Ar nebūtų geriau pažeidžiamumus laikyti paslaptyje, jei pataisos nėra?

A: Pažeidžiamumai nuolat aptinkami ir atskleidžiami, dažnai dar prieš tai, kai gamintojai turėjo teisingą galimybę pateikti pataisą, o atskleidime dažnai būna veikiančių išnaudojimo priemonių. Mūsų patirtis rodo, kad jei nėra atsakingo, kvalifikuoto informacijos apie pažeidžiamumus atskleidimo, tyrėjai, programuotojai, sistemų administratoriai ir kiti IT specialistai, aptinkantys pažeidžiamumus, dažnai jaučia, kad neturi kito pasirinkimo, kaip tik paviešinti informaciją, siekdami priversti gamintojus spręsti problemą.

K: Ar visi pažeidžiamumai bus atskleisti per 45 dienas?

A: Ne. Dažnai gali susidaryti aplinkybių, dėl kurių pakoreguosime skelbimo grafiką. Ypač rimtos grėsmės arba tos, dėl kurių turime išnaudojimo įrodymų, greičiausiai lems trumpesnį išleidimo grafiką. Grėsmės, kurioms reikia „kietų“ pakeitimų (standartų pakeitimų, pagrindinių operacinės sistemos komponentų pakeitimų), lems ilgesnį skelbimo grafiką. Galime nepaskelbti kiekvieno mums pranešto pažeidžiamumo.

K: Ar nustebinsite gamintojus pranešimais apie pažeidžiamumus?

A: Ne. Prieš viešą atskleidimą sąžiningai stengsimės informuoti gamintojus apie savo ketinimus.

K: Jei gamintojas nesutinka su jūsų problemos įvertinimu, ar ši informacija bus prieinama?

A: Taip. Prašome ir skelbiame autentifikuotus gamintojų pareiškimus bei pažeidžiamumų pastabose (vulnerability notes) pateikiame nuorodas į atitinkamą gamintojų informaciją. Neslėpsime gamintojo pateiktos informacijos vien dėl to, kad ji nesutampa su mūsų problemos vertinimu.

K: Kas gauna informaciją prieš viešą atskleidimą?

A: Paprastai informaciją teikiame visiems, kurie gali prisidėti prie sprendimo ir su kuriais turime patikimus santykius, įskaitant gamintojus (dažnai ir tuos, kurių produktai nėra pažeidžiami), bendruomenės ekspertus, rėmėjus ir svetaines, kurios yra nacionalinės kritinės infrastruktūros dalis, jei manome, kad joms gresia pavojus.

K: Ar atskleidžiate kiekvieną pranešamą pažeidžiamumą?

A: Ne. Savo nuožiūra galime atsisakyti koordinuoti ar skelbti pranešimą apie pažeidžiamumą. Šis sprendimas paprastai grindžiamas pažeidžiamumo mastu ir sunkumu bei mūsų gebėjimu suteikti pridėtinės vertės koordinavimo ir atskleidimo procesui. Nesvarbu, ar koordinuojame, ar skelbiame, rekomenduojame pranešėjui sąžiningai stengtis informuoti paveiktą gamintoją ir dirbti tiesiogiai su juo prieš viešą atskleidimą.