Coordinated vulnerability disclosure

Koordinēta ievainojamību atklāšana (CVD)

Kā ziņot par drošības ievainojamībām, tās saņemt un koordinēt, ar politiku piemēriem.

Koordinēta ievainojamību atklāšana (CVD) ir datordrošības termins. Tas apraksta, kā cilvēki var dalīties ar ziņojumiem par drošības problēmām. Piemēri ir kļūdu ziņojumi, ielaušanās riski, brīdinājumi par uzlaušanu, datu noplūdes, tīmekļvietņu pārkāpumi u. c.

Tulkojumi: العربية, Български, বাংলা, Čeština, Cymraeg, Dansk, Deutsch, Ελληνικά, English, Español, Eesti, Euskara, فارسی, Suomi, Français, Gaeilge, Gàidhlig, ગુજરાતી, Hausa, עברית, हिन्दी, Hrvatski, Magyar, Bahasa Indonesia, Íslenska, Italiano, 日本語, 한국어, Lietuvių, Latviešu, Nederlands, Polski, Português, Română, Русский, Slovenčina, Slovenščina, Svenska, Kiswahili, ไทย, Türkçe, Українська, اردو, Tiếng Việt, 中文

Saturs:

Politikas:

Ievads

Šis dokuments izskaidro koordinētu ievainojamību atklāšanu veidos, kas var palīdzēt cilvēkiem strādāt kopā.

Dokumenta mērķi:

  1. Palīdzēt cilvēkiem, kuri atklāj drošības problēmas un vēlas par tām ziņot.

  2. Palīdzēt uzņēmumu pārstāvjiem izprast atbildīgas atklāšanas vajadzības, mērķus, prakses un īpašos gadījumus.

  3. Iekļaut repozitorija mapē koordinētas ievainojamību atklāšanas politiku piemērus.

Mēs priecājamies par pull request, GitHub issues vai e-pastu uz security@joelparkerhenderson.com.

Kas ir koordinēta ievainojamību atklāšana?

Koordinēta ievainojamību atklāšana apraksta trīs soļus, kad kāds atklāj drošības problēmu (piemēram, programmatūras kļūdu) un vēlas par to ziņot ražotājam (piemēram, uzņēmumam, kas izstrādā programmatūru).

Soļi:

  1. Atklājējs godprātīgi un privāti ziņo ražotājam par problēmu.

  2. Ražotājs godprātīgi cenšas aizsargāt lietotājus un risināt problēmu.

  3. Pēc noteikta laika drošības problēma tiek publiskota.

1. solis: ziņojiet par problēmu

  1. solis ir atklājējam: godprātīgi un privāti ziņot par problēmu.

  • Labi: atklājējs nosūta attiecīgo informāciju ražotājam, piemēram, pa e-pastu uz ražotāja drošības e-pasta adresi (parasti "security@example.com") vai ar tīmekļa lapas veidlapu ražotāja vietnē (parasti "https://www.example.com/security").

  • Slikti: ziņojuma ievietošana publiskā blogā, mediju brīdināšana, draudi vai mēģinājumi pārdot drošības problēmu hakeriem u. tml.

  • Padoms: atklājējs var izvēlēties palikt anonīms; arī ražotājs var izvēlēties palikt anonīms.

Ja vēlaties, turpiniet sekot problēmai.

  • Labi: atvērt saziņas kanālus, sniegt papildinformāciju vai uzraudzīt situāciju.

  • Slikti: aizmirst par problēmu.

  • Padoms: atklājējs var izvēlēties palīdzēt vai nepalīdzēt, kā arī uzturēt saziņu vai ne, un var mainīt vienošanos, ja mainās apstākļi.

Ja vēlaties, atklājiet problēmu arī citiem.

  • Labi: nogaidīt noteikto laiku un tad izpaust publiski, piemēram, ievietojot attiecīgo informāciju drošības ziņu vietnē, sazinoties ar attiecīgiem trešo pušu drošības pētniekiem vai paziņojot par problēmu jebkurā publiskā sociālajā vietnē u. tml.

  • Slikti: neatklāt problēmu citiem, ja vien jūs nejūtat, ka tas radītu lielāku risku jums vai citiem nekā salīdzināmā situācijā.

  • Padoms: ja apstākļi mainās, piemēram, tiek atklāts lielāks risks vai aktīva ekspluatācija reālajā vidē, atklājējs var informēt citus ātrāk.

2. solis: nodrošiniet kontaktus.

  1. solis ir ražotājam: nodrošināt, ka kontakti ir darbspējīgi.

  • Labi: ražotājs publicē drošības kontakta e-pasta adresi (pēc ieraduma "security@example.com") un ideālā gadījumā drošu e-pasta šifrēšanas atslēgu.

  • Labi: ražotājs publicē drošības kontakta tīmekļa lapu (pēc ieraduma "https://www.example.com/security") un ideālā gadījumā padara lapu viegli atrodamu, piemēram, ar vietnes kājeni, vietnes karti un meklēšanu.

  • Slikti: ražotājs nenorāda e-pasta adresi vai tīmekļa lapu vai nepadara tās viegli atrodamas.

Nodrošiniet darbinieku spējas.

  • Labi: ražotājs apmāca atbalsta darbiniekus, ko darīt, saņemot drošības jautājumu, piemēram, kā atbildēt ar kontaktinformāciju vai kā pārsūtīt jautājumu pareizajai iekšējai komandai.

  • Labi: ražotājs periodiski pārbauda, vai darbinieku spējas darbojas.

  • Slikti: ražotājs neapmāca vai nepārbauda.

Atbildiet atklājējam noteiktajā termiņā.

  • Ja atklājējs termiņu nenorāda, izmantojiet vienu darbadienu, jo tas ir nozares standarts un pašreizējā nozares labākā prakse.

  • Ja atklājējs uzdod jautājumus, atbildiet uz tiem. Tas ir īpaši svarīgi, ja atklājējs lūdz atļauju testēšanai. Nodrošiniet, ka visas atbildes ir skaidras un tiešas.

Atbildiet atklājējam, izmantojot pilnvarotu drošības kontaktu un/vai pilnvarotu drošības procesu.

  • Labi: atbilde no drošībai paredzētas e-pasta adreses, piemēram, "security@example.com".

  • Piemēram, slikti ir: atbilde no vispārēja nolūka e-pasta adreses, piemēram, "help@example.com", vai no jebkura, kas nav pilnvarots drošības speciālists.

Atbildiet atklājējam, ka problēma ir atzīta par drošības ziņojumu.

  • Labi: drošībai specifiska formulējuma lietošana, piemēram, "Mūsu drošības komanda ir saņēmusi jūsu atbildīgas atklāšanas ziņojumu", vai "Mūsu drošības procesā ir šādi nākamie soļi", vai "Jūsu informācija tagad ir mūsu drošības izsekotājā ar numuru XYZ" u. tml.

  • Slikti: vispārīgs formulējums, piemēram, "Mēs novērtējam jūsu uzticību", vai "Mēs nopietni uztveram drošību", vai atbildības novēršanas formulējums, piemēram, "Mēs pārsūtījām jūsu e-pastu citai nodaļai" u. tml.

3. solis: strādājiet godprātīgi

  1. solis ir atklājējam un ražotājam kopā: strādāt godprātīgi.

Saprotiet, ka koordinēta ievainojamību atklāšana apraksta godprātīgu procesu.

    1. mērķis ir godprātība, lai palīdzētu lietotājiem pasargāties no drošības riskiem.
    1. mērķis ir godprātība, lai risinātu drošības problēmu.

  • Atklājējs un/vai ražotājs var godprātīgi izlemt iesaistīt citus drošības speciālistus, piemēram, sazinoties ar citiem attiecīgiem drošības pētniekiem, lai palīdzētu ar problēmu.

Saprotiet, ka koordinēta ievainojamību atklāšana neizveido nekādus pienākumus.

  • Atklājējs un/vai ražotājs jebkurā brīdī var izstāties jebkāda iemesla dēļ, ar brīdinājumu vai bez tā. Pieklājīgi ir informēt visus attiecīgos cilvēkus un turēt viņus lietas kursā, taču tas ne vienmēr ir iespējams, praktiski vai vēlams.

  • Koordinēta ievainojamību atklāšana neizveido nekādu juridisku vienošanos. Ja atklājējam un ražotājam jau ir juridiska vienošanās, mēs iesakām visiem iesaistītajiem konsultēties ar attiecīgiem juristiem; neizmantojiet šo dokumentu kā juridisku padomu.

Saprotiet, ka koordinēta ievainojamību atklāšana cenšas izmantot labu saziņu un noraida draudus.

  • Koordinēta ievainojamību atklāšana ir vislabākā, kad visi iesaistītie saprot, ka 1. mērķis ir palīdzēt lietotājiem pasargāties no drošības riskiem, bet 2. mērķis ir risināt drošības problēmu.

  • Koordinēta ievainojamību atklāšana noraida jebkāda veida atriebības draudus, iebiedēšanu, apturēšanu, atsaukšanu, izspiešanu, pienākumu sekot līdzi vai upura vainošanu.

Saprotiet, ka koordinēta ievainojamību atklāšana dažādiem cilvēkiem var nozīmēt dažādas lietas.

  • Atklājējam un ražotājam var būt atšķirīga izpratne par koordinētu ievainojamību atklāšanu. Šīs izpratnes var nesakrist. Godprātība ietver to, ka visi iesaistītie to saprot.

  • Daži ražotāji publicē koordinētas ievainojamību atklāšanas politikas. Tās var būt noderīgi norādījumi. Ja atklājējs izvēlas izmantot cita veida koordinētu ievainojamību atklāšanu vai viņam ir atšķirīga izpratne par atbildīgu atklāšanu, tas ir pilnīgi pieņemami.

Saprotiet, ka parasti atklājējs izdara pakalpojumu izdevējam.

  • Parasti atklājējam nav vajadzīga nevienas atļauja, lai publicētu ievainojamības.

  • Parasti atklājēja informācija palīdz izdevējam.

Veiksmes pārbaude

Pēc problēmas atrisināšanas ražotājam jāpārbauda panākumi.

  • Vai visi cilvēki un procesi atklāšanu apstrādāja sekmīgi? Ja jā, labi. Ja nē, apsveriet pēcdarbības izpēti, piemēram, pamatcēloņu analīzi (RCA), pēcnāves atskaites (post-mortem), Išikavas diagrammas vai uz sistēmu teoriju balstītu cēloņu analīzi (CAST).

  • Vai visas neatrisinātās problēmas ir sakārtotas pēc prioritātes un izsekotas?

  • Vai ražotājs un atklājējs abi saprot, kas jādara nākamajos soļos? To ir īpaši svarīgi izdarīt pareizi gadījumam, ja varētu būt turpmākas koordinētas ievainojamību atklāšanas.

Norādījumi

Norādījumi koordinētai ievainojamību atklāšanai var nākt no daudzām jomām, piemēram, ētikas ekspertiem, juridiskajiem aizstāvjiem, plašas sabiedrības pamatotām cerībām u. c.

Ja meklējat norādījumus, jūs varētu interesēt šīs trīs jomas, kas aprakstītas tālāk.

  • Labais samarietis

  • Pienākums glābt

  • Rūpības pienākums

Labais samarietis

Wikipedia: Good Samaritan law

Labā samarieša likumi piedāvā juridisku aizsardzību cilvēkiem, kuri sniedz saprātīgu palīdzību tiem, kas ir vai kurus viņi uzskata par ievainotiem, slimiem, briesmās nonākušiem vai citādi darbnespējīgiem. Aizsardzības mērķis ir mazināt gadījuma liecinieku vilcināšanos palīdzēt, baidoties no tiesvedības vai kriminālvajāšanas.

Pienākums glābt

Wikipedia: Duty to rescue

Pienākums glābt ir jēdziens, kas apraksta apstākļus, kuros pusi var saukt pie atbildības par to, ka tā nav steigusies palīgā otrai pusei, kas atrodas briesmās. Pienākumam glābt var būt morāli un/vai juridiski aspekti.

Rūpības pienākums

Wikipedia: Duty of care

Rūpības pienākums ir saistība ievērot saprātīgas rūpības standartu, veicot jebkādas darbības, kas paredzami var kaitēt citiem. Rūpības pienākumam var būt morāli un/vai juridiski aspekti. Daži apsvērumi: kaitējuma vai ievainojuma paredzamība, iespējamā kaitējuma vai ievainojuma apmērs, atbildētāja veiktās darbības nozīme vai sociālā vērtība, uzvedības lietderība atbildētājam, alternatīvas uzvedības iespējamība, ar alternatīvo uzvedību saistītās izmaksas un slogs, alternatīvās uzvedības relatīvā lietderība un alternatīvās uzvedības relatīvā drošība.

Īpaši gadījumi

Mūsu drošības komandas ir redzējušas plašu īpašu gadījumu klāstu.

Mēs tos aprakstām šeit, lai palīdzētu cilvēkiem saprast, kur ir plašs viedokļu spektrs par to, kas varētu būt pieņemams un kas ne. Mēs iesakām visiem iesaistītajiem par tiem sazināties godprātīgi.

Piekļuve citu lietotāju informācijai

Piemērs: jūs atklājat, ka URL ir jūsu lietotāja ID, tas atklāj kļūdu, un jūs uzskatāt, ka varat rediģēt URL, nomainot savu lietotāja ID uz citu lietotāja ID.

  • Vai atklājējam tas ir pieņemami, piemēram, ar vienīgo mērķi noskaidrot, vai tas ietekmē arī citus lietotājus?

  • Vai ir svarīgāk ātri saprast riska apjomu visiem lietotājiem nekā aizsargāt dažus lietotājus, kuru informācija jau varētu būt redzama hakeriem?

  • Vai atklājējam ir pieņemami to darīt ar tik daudziem lietotājiem, cik vēlas?

  • Vai atklājējam ir pieņemami mēģināt sazināties ar lietotājiem, lai paziņotu, ka viņi ir skarti? Vai ir pieņemami piedāvāt ieteikumus riska mazināšanai?

Pakalpojumatteice

Piemērs: jūs atklājat kļūdu, kas nejauši aptur jūsu kontu, piemēram, izraisot paroles bloķēšanu.

  • Vai to uzskata par pakalpojumatteices uzbrukumu?

Nelūgts e-pasts

Piemērs: jūs mēģināt ziņot par drošības problēmu uzņēmuma cilvēkiem, kurus uzskatāt par atbilstošiem un kurus atrodat, izpētot LinkedIn, Facebook u. c., vai izmantojot nosaukumu konvencijas, piemēram, "webmaster@example.com" vai "security@example.com".

  • Vai tas ir pieņemami?

  • Vai to uzskata par nelūgtu e-pastu?

  • Vai to uzskata par neatļautu e-pastu?

Izslēgtās grupas

Piemērs: jūs piederat izslēgtai grupai, piemēram, esat nepilngadīgais vai atrodaties sankciju sarakstā, vai esat valstī, kas ir sankciju sarakstā.

  • Vai jums ir pieņemami iesniegt ziņojumu?

  • Vai ir pieņemami ziņot anonīmi?

  • Vai ir pieņemami apzināti mainīt potenciāli identificējošu informāciju, piemēram, lai izvairītos no izslēgtās grupas, ar mērķi palīdzēt atklāšanai nonākt pie pareizajiem cilvēkiem?

Trešā puse

Piemērs: jūs atklājat, ka uzņēmuma programmatūrā ir kļūda, kas saistīta ar trešo pusi, piemēram, integrāciju ar citu programmatūru vai citu tīmekļvietni.

  • Vai jums ir pieņemami ziņot visu atrasto informāciju abām pusēm?

  • Vai ir nepieciešams veikt divas dažādas atbildīgas atklāšanas, piemēram, vienu ziņojumu vienam uzņēmumam un citu ziņojumu trešās puses uzņēmumam, ar mērķi ierobežot katram uzņēmumam nosūtāmo informāciju?

  • Vai atklājējam ir pieņemami savest uzņēmumus kontaktā vienu ar otru?

Traucējoša programmatūra

Piemērs: jūs esat pietiekami prasmīgs, lai uzrakstītu vīrusu, kas, jūsuprāt, varētu palīdzēt lietotājiem pasargāties no drošības riska, noteikt, vai viņiem draud risks, vai novērst drošības risku.

  • Vai tas ir pieņemami?

  • Vai atklājējam ir pieņemami novirzīt lietotājus uz šādu programmatūru un/vai uz rokasgrāmatām vai pamācībām, kas apraksta, kā izveidot šāda veida programmatūru?

Koordinēta ievainojamību atklāšana pret atbildīgu atklāšanu

Koordinēta ievainojamību atklāšana ir vēlamais termins.

  • Vissvarīgākais aspekts ir koordinācija starp atklājēju un ražotāju.

Atbildīga atklāšana ir novecojis termins.

  • Cilvēkiem ir atšķirīgi uzskati par to, ko nozīmē būt atbildīgam. Piemēram, daži cilvēki aizstāv viedokli, ka atklājējam ir atbildīgi nekavējoties informēt sabiedrību neatkarīgi no jebkādas mijiedarbības ar ražotāju, un ka koordinēta ievainojamību atklāšana ir neatbildīga, jo slēpj informāciju no sabiedrības.

Izsekošana