Coordinated vulnerability disclosure
← Politikas

CERT: ievainojamību atklāšanas politika

Par ievainojamībām, par kurām ziņots CERT/CC, tiks informēta sabiedrība 45 dienas pēc sākotnējā ziņojuma neatkarīgi no tā, vai skartajiem ražotājiem ir ielāpi vai apiešanas risinājumi. Mīkstinoši apstākļi, piemēram, aktīva ekspluatācija, īpaši nopietni (vai nenozīmīgi) draudi vai situācijas, kurās nepieciešamas izmaiņas noteiktā standartā, var izraisīt agrāku vai vēlāku atklāšanu. CERT/CC veiktajās atklāšanās tiks norādīts ziņotāja devums, ja vien ziņotājs nepieprasa citādi. Mēs informēsim visus skartos ražotājus par saviem publicēšanas plāniem un, kad nepieciešams, vienosimies ar skartajiem ražotājiem par alternatīviem publicēšanas grafikiem.

Šīs politikas mērķis ir līdzsvarot sabiedrības vajadzību tikt informētai par drošības ievainojamībām ar ražotāju vajadzību pēc laika, lai efektīvi reaģētu. Galīgais lēmums par publicēšanas grafiku tiks balstīts uz kopienas kopējām interesēm.

Par ievainojamībām, par kurām mums ziņots, tiks paziņots skartajiem ražotājiem, līdzko tas praktiski iespējams pēc ziņojuma saņemšanas. Ziņotāja vārds un kontaktinformācija tiks pārsūtīti skartajiem ražotājiem, ja vien ziņotājs nepieprasa citādi. Mēs informēsim ziņotāju par būtiskām izmaiņām jebkuras viņa ziņotās ievainojamības statusā, cik vien iespējams, neatklājot mums konfidenciāli sniegto informāciju.

Ievainojamības tiks atklātas Vulnerability Notes.

Ziņojumi par ievainojamībām ASV valdības tīmekļvietnēs tiks pārsūtīti US-CERT koordinācijai ar valdību.

Biežāk uzdotie jautājumi

J: Vai tas nozīmē, ka CERT/CC pāriet uz „pilnu atklāšanu” (full disclosure)?

A: Mēs neplatīsim ekspluatācijas rīkus (exploits), ja tieši to nozīmē „pilna atklāšana”. Mūsu pieredze liecina, ka cilvēku skaits, kuriem ir labums no ekspluatācijas rīku pieejamības, ir neliels salīdzinājumā ar cilvēku skaitu, kuriem kaitē tie, kas ekspluatācijas rīkus izmanto ļaunprātīgi. Tomēr mēs atklāsim informāciju par ievainojamībām, ko, iespējams, iepriekš neesam atklājuši. Savu resursu robežās mēs publicēsim informāciju par pēc iespējas vairāk ievainojamību.

J: Kāpēc ne 30 dienas vai 15 dienas, vai nekavējoties?

A: Mēs uzskatām, ka 45 dienas lielai organizācijai var būt diezgan grūts termiņš. Īsāka termiņa noteikšana reāli nepalīdzēs problēmai. Ja nav pierādījumu par ekspluatāciju, nepamatota ievainojamību paziņošana var neatbilst sabiedrības drošības interesēm.

J: Vai nebūtu labāk saglabāt ievainojamības noslēpumā, ja nav pieejams labojums?

A: Ievainojamības regulāri tiek atklātas un izpaustas, bieži pirms ražotājiem bijusi taisnīga iespēja sniegt labojumu, un atklāšana bieži ietver strādājošus ekspluatācijas rīkus. Mūsu pieredze liecina, ja nav atbildīgas, kvalificētas informācijas par ievainojamībām atklāšanas, pētnieki, programmētāji, sistēmu administratori un citi IT speciālisti, kas atklāj ievainojamības, bieži jūtas, ka viņiem nav citas izvēles kā publiskot informāciju, mēģinot piespiest ražotājus risināt problēmu.

J: Vai visas ievainojamības tiks atklātas 45 dienu laikā?

A: Nē. Bieži var rasties apstākļi, kas liks mums pielāgot publicēšanas grafiku. Draudi, kas ir īpaši nopietni vai par kuriem mums ir pierādījumi par ekspluatāciju, visticamāk, liks saīsināt laidiena grafiku. Draudi, kuriem nepieciešamas „cietas” izmaiņas (standartu izmaiņas, operētājsistēmas kodola komponentu izmaiņas), liks pagarināt publicēšanas grafiku. Mēs varam nepublicēt katru ievainojamību, par kuru mums ziņots.

J: Vai jūs pārsteigsiet ražotājus ar paziņojumiem par ievainojamībām?

A: Nē. Pirms publiskas atklāšanas mēs godprātīgi centīsimies informēt ražotājus par saviem nodomiem.

J: Ja ražotājs nepiekrīt jūsu problēmas novērtējumam, vai šī informācija būs pieejama?

A: Jā. Mēs lūdzam un publicējam autentificētus ražotāju paziņojumus un ievainojamību piezīmēs (vulnerability notes) atsaucamies uz attiecīgo ražotāju informāciju. Mēs neatturēsim ražotāju sniegto informāciju vienkārši tāpēc, ka tā nesakrīt ar mūsu problēmas novērtējumu.

J: Kas saņem informāciju pirms publiskas atklāšanas?

A: Parasti mēs sniedzam informāciju ikvienam, kas var palīdzēt ar risinājumu un ar ko mums ir uzticamas attiecības, tostarp ražotājiem (bieži arī ražotājiem, kuru produkti nav ievainojami), kopienas ekspertiem, atbalstītājiem un vietnēm, kas ir daļa no valsts kritiskās infrastruktūras, ja uzskatām, ka tām draud risks.

J: Vai jūs atklājat katru ziņoto ievainojamību?

A: Nē. Pēc saviem ieskatiem mēs varam atteikties koordinēt vai publicēt ievainojamības ziņojumu. Šis lēmums parasti balstās uz ievainojamības apjomu un nopietnību un mūsu spēju pievienot vērtību koordinācijas un atklāšanas procesam. Neatkarīgi no tā, vai mēs koordinējam vai publicējam, mēs iesakām ziņotājam godprātīgi censties paziņot skartajam ražotājam un strādāt tieši ar to pirms publiskas atklāšanas.