Coordinated vulnerability disclosure

Skoordynowane ujawnianie podatności (CVD)

Jak zgłaszać, przyjmować i koordynować podatności bezpieczeństwa, z przykładowymi politykami.

Skoordynowane ujawnianie podatności (Coordinated vulnerability disclosure, CVD) to termin z dziedziny bezpieczeństwa komputerowego. Opisuje, w jaki sposób ludzie mogą dzielić się zgłoszeniami dotyczącymi problemów z bezpieczeństwem. Przykłady to zgłoszenia błędów, zagrożenia włamaniem, ostrzeżenia o hakowaniu, wycieki danych, włamania na strony internetowe itd.

Tłumaczenia: العربية, Български, বাংলা, Čeština, Cymraeg, Dansk, Deutsch, Ελληνικά, English, Español, Eesti, Euskara, فارسی, Suomi, Français, Gaeilge, Gàidhlig, ગુજરાતી, Hausa, עברית, हिन्दी, Hrvatski, Magyar, Bahasa Indonesia, Íslenska, Italiano, 日本語, 한국어, Lietuvių, Latviešu, Nederlands, Polski, Português, Română, Русский, Slovenčina, Slovenščina, Svenska, Kiswahili, ไทย, Türkçe, Українська, اردو, Tiếng Việt, 中文

Spis treści:

Polityki:

Wprowadzenie

Ten dokument wyjaśnia skoordynowane ujawnianie podatności w sposób, który może pomóc ludziom we współpracy.

Cele dokumentu:

  1. Pomóc osobom, które odkrywają problemy z bezpieczeństwem i chcą je zgłosić.

  2. Pomóc przedstawicielom firm zrozumieć potrzeby, cele, praktyki i szczególne przypadki odpowiedzialnego ujawniania.

  3. Zamieścić w folderze repozytorium przykładowe polityki skoordynowanego ujawniania podatności.

Zapraszamy do przesyłania pull requestów, zgłoszeń (issues) na GitHubie lub e-maili na adres security@joelparkerhenderson.com.

Czym jest skoordynowane ujawnianie podatności?

Skoordynowane ujawnianie podatności opisuje trzy kroki, gdy ktoś odkrywa problem z bezpieczeństwem (taki jak błąd w oprogramowaniu) i chce go zgłosić producentowi (np. firmie, która tworzy oprogramowanie).

Kroki:

  1. Odkrywca zgłasza problem producentowi prywatnie i w dobrej wierze.

  2. Producent w dobrej wierze stara się chronić użytkowników i zająć się problemem.

  3. Po upływie określonego czasu problem z bezpieczeństwem zostaje upubliczniony.

Krok 1: Zgłoś problem

Krok 1 należy do odkrywcy: zgłoś problem prywatnie i w dobrej wierze.

  • Dobrze: odkrywca wysyła odpowiednie informacje producentowi, np. e-mailem na adres e-mail producenta do spraw bezpieczeństwa (zazwyczaj „security@example.com") lub przez formularz na stronie internetowej producenta (zazwyczaj „https://www.example.com/security").

  • Źle: publikowanie zgłoszenia na publicznym blogu, alarmowanie mediów, groźby, próby sprzedaży problemu z bezpieczeństwem hakerom itd.

  • Wskazówka: odkrywca może zdecydować się pozostać anonimowy; producent również może zdecydować się pozostać anonimowy.

Jeśli chcesz, nadal śledź sprawę.

  • Dobrze: otwieranie kanałów komunikacji, przekazywanie dalszych informacji lub monitorowanie sytuacji.

  • Źle: zapomnienie o problemie.

  • Wskazówka: odkrywca może zdecydować, czy pomagać, czy nie, czy pozostawać w kontakcie, czy nie, a także zmienić ustalenia, jeśli zmienią się okoliczności.

Jeśli chcesz, ujawnij problem innym.

  • Dobrze: odczekanie wyznaczonego czasu, a następnie upublicznienie, np. opublikowanie odpowiednich informacji w serwisie z wiadomościami o bezpieczeństwie, skontaktowanie się z odpowiednimi zewnętrznymi badaczami bezpieczeństwa lub ogłoszenie problemu w dowolnym publicznym serwisie społecznościowym itd.

  • Źle: nieujawnianie problemu innym, chyba że uważasz, że spowodowałoby to większe niż porównywalne ryzyko dla ciebie lub innych.

  • Wskazówka: jeśli okoliczności się zmienią, np. zostanie odkryte wyższe ryzyko lub aktywne wykorzystanie podatności w środowisku rzeczywistym (in the wild), odkrywca może ujawnić problem innym wcześniej.

Krok 2: Zapewnij kontakt

Krok 2 należy do producenta: zadbaj o to, aby kontakty były użyteczne.

  • Dobrze: producent publikuje adres e-mail do kontaktu w sprawach bezpieczeństwa (zwyczajowo „security@example.com") oraz najlepiej bezpieczny klucz szyfrowania poczty.

  • Dobrze: producent publikuje stronę internetową do kontaktu w sprawach bezpieczeństwa (zwyczajowo „https://www.example.com/security") i najlepiej ułatwia jej znalezienie, np. przez stopkę serwisu, mapę witryny i wyszukiwarkę.

  • Źle: producent nie podaje adresu e-mail ani strony internetowej albo nie ułatwia ich znalezienia.

Zadbaj o kompetencje pracowników.

  • Dobrze: producent szkoli pracowników wsparcia, co robić po otrzymaniu zapytania o bezpieczeństwo, np. jak odpowiedzieć, podając dane kontaktowe, lub jak przekazać zapytanie do właściwego zespołu wewnętrznego.

  • Dobrze: producent okresowo sprawdza, czy kompetencje pracowników działają.

  • Źle: producent nie szkoli lub nie sprawdza.

Odpowiadaj odkrywcy w wyznaczonym terminie.

  • Jeśli odkrywca nie określi terminu, użyj jednego dnia roboczego, ponieważ jest to standard branżowy i obecna najlepsza praktyka w branży.

  • Jeśli odkrywca zadaje pytania, odpowiadaj na nie. Jest to szczególnie ważne, jeśli odkrywca prosi o pozwolenie na testowanie. Zadbaj o to, aby wszystkie odpowiedzi były jasne i bezpośrednie.

Odpowiadaj odkrywcy za pośrednictwem upoważnionego kontaktu do spraw bezpieczeństwa i/lub upoważnionego procesu bezpieczeństwa.

  • Dobrze: odpowiedź z adresu e-mail przeznaczonego do spraw bezpieczeństwa, takiego jak „security@example.com".

  • Przykłady złych praktyk: odpowiedź z adresu e-mail ogólnego przeznaczenia, takiego jak „help@example.com", lub od kogoś, kto nie jest upoważnionym specjalistą ds. bezpieczeństwa.

Poinformuj odkrywcę, że problem został uznany za zgłoszenie dotyczące bezpieczeństwa.

  • Dobrze: sformułowania właściwe dla bezpieczeństwa, takie jak „Nasz zespół ds. bezpieczeństwa otrzymał twoje zgłoszenie odpowiedzialnego ujawnienia", „Nasz proces bezpieczeństwa obejmuje następujące kroki" lub „Twoje informacje są teraz w naszym systemie śledzenia bezpieczeństwa pod numerem XYZ" itd.

  • Źle: sformułowania ogólne, takie jak „Doceniamy współpracę z tobą" lub „Traktujemy bezpieczeństwo poważnie", sformułowania przerzucające odpowiedzialność, takie jak „Przekazaliśmy twój e-mail do innego działu" itd.

Krok 3: Działaj w dobrej wierze

Krok 3 należy do odkrywcy i producenta razem: działajcie w dobrej wierze.

Zrozum, że skoordynowane ujawnianie podatności opisuje proces oparty na dobrej wierze.

  • Cel nr 1 to dobra wiara w pomaganiu użytkownikom w ochronie przed zagrożeniami bezpieczeństwa.

  • Cel nr 2 to dobra wiara w zajęciu się problemem bezpieczeństwa.

  • Odkrywca i/lub producent mogą w dobrej wierze zdecydować o zaangażowaniu innych osób zajmujących się bezpieczeństwem, np. skontaktować się z innymi odpowiednimi badaczami bezpieczeństwa, aby pomogli w sprawie.

Zrozum, że skoordynowane ujawnianie podatności nie tworzy żadnych zobowiązań.

  • Odkrywca i/lub producent mogą w dowolnym momencie, z dowolnego powodu, z ostrzeżeniem lub bez, zrezygnować. Uprzejmie jest informować wszystkie zainteresowane osoby i na bieżąco je aktualizować, ale nie zawsze jest to możliwe, praktyczne czy pożądane.

  • Skoordynowane ujawnianie podatności nie tworzy żadnej umowy prawnej. Jeśli odkrywca i producent mają już umowę prawną, zalecamy, aby wszyscy zaangażowani skonsultowali się z odpowiednimi prawnikami; nie używaj tego dokumentu jako porady prawnej.

Zrozum, że skoordynowane ujawnianie podatności dąży do dobrej komunikacji i odrzuca groźby.

  • Skoordynowane ujawnianie podatności sprawdza się najlepiej, gdy wszyscy zaangażowani rozumieją, że cel nr 1 to pomoc użytkownikom w ochronie przed zagrożeniami bezpieczeństwa, a cel nr 2 to zajęcie się problemem bezpieczeństwa.

  • Skoordynowane ujawnianie podatności odrzuca wszelkie groźby odwetu, zastraszania, zawieszenia, cofnięcia, wymuszenia, obciążenia obowiązkiem dalszych działań czy obwiniania ofiary.

Zrozum, że skoordynowane ujawnianie podatności może oznaczać różne rzeczy dla różnych ludzi.

  • Odkrywca i producent mogą mieć odmienne rozumienie skoordynowanego ujawniania podatności. Te rozumienia mogą nie być ze sobą zgodne. Dobra wiara obejmuje zrozumienie tego przez wszystkich zaangażowanych.

  • Niektórzy producenci publikują polityki skoordynowanego ujawniania podatności. Mogą one stanowić pomocną wskazówkę. Jeśli odkrywca zdecyduje się na inny rodzaj skoordynowanego ujawniania podatności lub ma inne rozumienie odpowiedzialnego ujawniania, jest to całkowicie w porządku.

Zrozum, że zazwyczaj odkrywca wyświadcza przysługę wydawcy.

  • Zazwyczaj odkrywca nie potrzebuje niczyjej zgody na publikację podatności.

  • Zazwyczaj informacje odkrywcy pomagają wydawcy.

Sprawdź powodzenie

Po rozwiązaniu problemu producent musi sprawdzić powodzenie.

  • Czy wszystkie osoby i procesy skutecznie obsłużyły ujawnienie? Jeśli tak, dobrze. Jeśli nie, rozważ przeprowadzenie badań po zdarzeniu, takich jak analiza przyczyn źródłowych (RCA), raporty po zdarzeniu (post-mortem), diagramy Ishikawy lub analiza przyczynowa oparta na teorii systemów (CAST).

  • Czy wszelkie nierozwiązane problemy zostały sklasyfikowane (triage) i są śledzone?

  • Czy producent i odkrywca rozumieją, co robić w kolejnych krokach? Jest to szczególnie ważne, aby zrobić to dobrze na wypadek ewentualnych kolejnych skoordynowanych ujawnień podatności.

Wskazówki

Wskazówki dotyczące skoordynowanego ujawniania podatności mogą pochodzić z wielu obszarów, takich jak eksperci od etyki, obrońcy prawni, rozsądne oczekiwania ogółu społeczeństwa itd.

Jeśli szukasz wskazówek, mogą cię zainteresować te trzy obszary, wszystkie opisane poniżej.

  • Dobry Samarytanin

  • Obowiązek ratowania

  • Obowiązek staranności

Dobry Samarytanin

Wikipedia: Good Samaritan law

Przepisy o dobrym Samarytaninie zapewniają ochronę prawną osobom, które udzielają rozsądnej pomocy tym, którzy są lub którzy w ich mniemaniu są ranni, chorzy, w niebezpieczeństwie lub w inny sposób niezdolni do działania. Ochrona ma na celu zmniejszenie wahania świadków przed udzieleniem pomocy z obawy przed pozwaniem lub ściganiem.

Obowiązek ratowania

Wikipedia: Duty to rescue

Obowiązek ratowania to koncepcja opisująca okoliczność, w której strona może ponosić odpowiedzialność za niewyjście z pomocą innej stronie znajdującej się w niebezpieczeństwie. Obowiązek ratowania może mieć aspekty moralne i/lub prawne.

Obowiązek staranności

Wikipedia: Duty of care

Obowiązek staranności to zobowiązanie do przestrzegania standardu rozsądnej staranności podczas wykonywania jakichkolwiek czynności, które mogłyby dające się przewidzieć wyrządzić szkodę innym. Obowiązek staranności może mieć aspekty moralne i/lub prawne. Niektóre aspekty do rozważenia to: przewidywalność szkody lub urazu, możliwa wielkość potencjalnej szkody lub urazu, znaczenie lub wartość społeczna działalności prowadzonej przez pozwanego, użyteczność postępowania dla pozwanego, wykonalność postępowania alternatywnego, koszty i obciążenia związane z postępowaniem alternatywnym, względna użyteczność postępowania alternatywnego oraz względne bezpieczeństwo postępowania alternatywnego.

Szczególne przypadki

Nasze zespoły ds. bezpieczeństwa widziały szeroki zakres szczególnych przypadków.

Opisujemy je tutaj, aby pomóc ludziom zrozumieć, gdzie istnieje szeroki zakres opinii na temat tego, co może być w porządku, a co nie. Zalecamy, aby wszyscy zaangażowani komunikowali się w tych sprawach w dobrej wierze.

Dostęp do informacji innych użytkowników

Przykład: odkrywasz, że adres URL zawiera twój identyfikator użytkownika i ujawnia błąd, i uważasz, że możesz edytować adres URL, aby zmienić swój identyfikator użytkownika na inny.

  • Czy odkrywcy wolno to zrobić, np. wyłącznie w celu sprawdzenia, czy dotyczy to także innych użytkowników?

  • Czy ważniejsze jest szybkie zrozumienie skali ryzyka dla wszystkich użytkowników niż ochrona kilku użytkowników, których informacje mogą być już widoczne dla hakerów?

  • Czy odkrywcy wolno to zrobić na tylu użytkownikach, ilu chcesz?

  • Czy odkrywcy wolno próbować skontaktować się z użytkownikami, aby poinformować ich, że są dotknięci? Czy wolno zaproponować sugestie łagodzenia skutków?

Odmowa usługi

Przykład: odkrywasz błąd, który przypadkowo zawiesza twoje konto, np. wywołując blokadę hasła.

  • Czy jest to uznawane za atak typu odmowa usługi?

Niezamówiona poczta e-mail

Przykład: próbujesz zgłosić problem z bezpieczeństwem osobom w firmie, które uważasz za właściwe i które znajdujesz, prowadząc badania na LinkedIn, Facebooku itd. lub stosując konwencje nazewnicze, takie jak „webmaster@example.com" lub „security@example.com".

  • Czy to w porządku?

  • Czy jest to uznawane za niezamówioną pocztę e-mail?

  • Czy jest to uznawane za nieautoryzowaną pocztę e-mail?

Grupy wykluczone

Przykład: należysz do grupy wykluczonej, np. jesteś małoletni, znajdujesz się na liście sankcyjnej lub w kraju znajdującym się na liście sankcyjnej.

  • Czy wolno ci złożyć zgłoszenie?

  • Czy wolno zgłosić anonimowo?

  • Czy wolno celowo zmienić potencjalnie identyfikujące informacje, np. aby uciec z grupy wykluczonej, w celu pomocy w dotarciu ujawnienia do właściwych osób?

Strona trzecia

Przykład: odkrywasz, że oprogramowanie firmy ma błąd dotyczący strony trzeciej, takiej jak integracja z innym oprogramowaniem lub inną stroną internetową.

  • Czy wolno ci zgłosić wszystkie znalezione informacje obu stronom?

  • Czy konieczne jest dokonanie dwóch różnych odpowiedzialnych ujawnień, np. jednego zgłoszenia do jednej firmy i innego zgłoszenia do firmy będącej stroną trzecią, w celu ograniczenia informacji wysyłanych do każdej firmy?

  • Czy odkrywcy wolno skontaktować firmy ze sobą?

Oprogramowanie zakłócające

Przykład: jesteś na tyle biegły, że potrafisz napisać wirusa, który według ciebie prawdopodobnie pomoże użytkownikom chronić się przed zagrożeniem bezpieczeństwa, ustalić, czy są zagrożeni, lub naprawić zagrożenie bezpieczeństwa.

  • Czy to w porządku?

  • Czy odkrywcy wolno kierować użytkowników do takiego oprogramowania i/lub do przewodników lub samouczków opisujących, jak tworzyć tego rodzaju oprogramowanie?

Skoordynowane ujawnianie podatności a odpowiedzialne ujawnianie

Skoordynowane ujawnianie podatności to preferowany termin.

  • Najważniejszym aspektem jest koordynacja między odkrywcą a producentem.

Odpowiedzialne ujawnianie (responsible disclosure) to termin przestarzały.

  • Ludzie mają różne poglądy na to, co oznacza bycie odpowiedzialnym. Na przykład niektórzy opowiadają się za tym, że odpowiedzialne jest natychmiastowe powiadomienie opinii publicznej przez odkrywcę, niezależnie od jakiejkolwiek interakcji z producentem, a nieodpowiedzialne jest stosowanie skoordynowanego ujawniania podatności, ponieważ ukrywa ono informacje przed opinią publiczną.

Śledzenie