Coordinated vulnerability disclosure
← Beleid

CERT: Beleid voor kwetsbaarheidsmelding

Kwetsbaarheden die aan het CERT/CC worden gemeld, worden 45 dagen na de eerste melding openbaar gemaakt, ongeacht het bestaan of de beschikbaarheid van patches of workarounds van de getroffen leveranciers. Verzachtende omstandigheden, zoals actieve uitbuiting, dreigingen van bijzonder ernstige (of triviale) aard, of situaties die wijzigingen in een vastgestelde standaard vereisen, kunnen leiden tot eerdere of latere openbaarmaking. Openbaarmakingen door het CERT/CC bevatten een vermelding van de melder, tenzij de melder anders verzoekt. We stellen getroffen leveranciers op de hoogte van onze publicatieplannen en onderhandelen waar nodig met de getroffen leveranciers over alternatieve publicatieschema's.

Het doel van dit beleid is een evenwicht te vinden tussen de behoefte van het publiek om te worden geïnformeerd over beveiligingskwetsbaarheden en de behoefte van leveranciers aan tijd om doeltreffend te reageren. De uiteindelijke vaststelling van een publicatieschema is gebaseerd op de belangen van de gemeenschap als geheel.

Kwetsbaarheden die aan ons worden gemeld, worden doorgestuurd naar de getroffen leveranciers zodra dat praktisch mogelijk is na ontvangst van de melding. De naam en contactgegevens van de melder worden doorgestuurd naar de getroffen leveranciers, tenzij de melder anders verzoekt. We informeren de melder over belangrijke wijzigingen in de status van een door hem of haar gemelde kwetsbaarheid, voor zover mogelijk zonder informatie prijs te geven die ons in vertrouwen is verstrekt.

Kwetsbaarheden worden openbaar gemaakt in Vulnerability Notes (kwetsbaarheidsnotities).

Kwetsbaarheidsmeldingen voor websites van de Amerikaanse overheid worden doorgestuurd naar US-CERT voor coördinatie met de overheid.

Veelgestelde vragen

V: Betekent dit dat CERT/CC naar "full disclosure" gaat?

A: We zullen geen exploits verspreiden, als dat is wat "full disclosure" betekent. Naar onze ervaring is het aantal mensen dat baat heeft bij de beschikbaarheid van exploits klein in vergelijking met het aantal mensen dat wordt benadeeld door mensen die exploits kwaadwillend gebruiken. We zullen wel informatie openbaar maken over kwetsbaarheden die we eerder misschien niet hadden openbaar gemaakt. Binnen de grenzen van onze middelen publiceren we informatie over zoveel mogelijk kwetsbaarheden.

V: Waarom niet 30 dagen, of 15 dagen, of onmiddellijk?

A: We denken dat 45 dagen een vrij strakke deadline kan zijn voor een grote organisatie. Het korter maken helpt het probleem realistisch gezien niet. Bij gebrek aan bewijs van uitbuiting is het onnodig aankondigen van kwetsbaarheden mogelijk niet in het beste belang van de openbare veiligheid.

V: Zou het niet beter zijn kwetsbaarheden stil te houden als er geen oplossing beschikbaar is?

A: Kwetsbaarheden worden routinematig ontdekt en openbaar gemaakt, vaak voordat leveranciers een eerlijke kans hebben gehad een oplossing te bieden, en de openbaarmaking omvat vaak werkende exploits. Naar onze ervaring voelen onderzoekers, programmeurs, systeembeheerders en andere IT-professionals die kwetsbaarheden ontdekken, zonder verantwoorde, deskundige openbaarmaking van kwetsbaarheidsinformatie vaak dat ze geen andere keuze hebben dan de informatie openbaar te maken in een poging leveranciers te dwingen het probleem aan te pakken.

V: Worden alle kwetsbaarheden binnen 45 dagen openbaar gemaakt?

A: Nee. Er kunnen vaak omstandigheden zijn die ons ertoe brengen ons publicatieschema aan te passen. Dreigingen die bijzonder ernstig zijn of waarvoor we bewijs van uitbuiting hebben, zullen ons waarschijnlijk ertoe brengen ons vrijgaveschema te verkorten. Dreigingen die "harde" wijzigingen vereisen (wijzigingen in standaarden, wijzigingen in kerncomponenten van het besturingssysteem) zullen ons ertoe brengen ons publicatieschema te verlengen. We publiceren mogelijk niet elke kwetsbaarheid die aan ons wordt gemeld.

V: Gaan jullie leveranciers verrassen met aankondigingen van kwetsbaarheden?

A: Nee. Voorafgaand aan openbaarmaking doen we een oprechte poging leveranciers over onze bedoelingen te informeren.

V: Als een leverancier het niet eens is met jullie beoordeling van een probleem, is die informatie dan beschikbaar?

A: Ja. We vragen en plaatsen geauthenticeerde verklaringen van leveranciers en verwijzen in kwetsbaarheidsnotities naar relevante leveranciersinformatie. We houden informatie van leveranciers niet achter alleen omdat die afwijkt van onze beoordeling van het probleem.

V: Wie krijgt de informatie vóór de openbaarmaking?

A: Over het algemeen verstrekken we de informatie aan iedereen die kan bijdragen aan de oplossing en met wie we een vertrouwensrelatie hebben, waaronder leveranciers (vaak ook leveranciers wier producten niet kwetsbaar zijn), deskundigen uit de gemeenschap, sponsors en sites die deel uitmaken van een nationale vitale infrastructuur, als we denken dat die sites risico lopen.

V: Maken jullie elke gemelde kwetsbaarheid openbaar?

A: Nee. We kunnen naar eigen goeddunken weigeren een kwetsbaarheidsmelding te coördineren of te publiceren. Deze beslissing is over het algemeen gebaseerd op de omvang en ernst van de kwetsbaarheid en ons vermogen om waarde toe te voegen aan het coördinatie- en openbaarmakingsproces. Of we nu coördineren of publiceren of niet, we raden de melder aan een oprechte poging te doen de getroffen leverancier vóór de openbaarmaking te informeren en rechtstreeks met hem samen te werken.