Coordinated vulnerability disclosure
← Polityki

CERT: polityka ujawniania podatności

Podatności zgłoszone do CERT/CC będą ujawniane publicznie 45 dni po pierwszym zgłoszeniu, niezależnie od istnienia lub dostępności poprawek bądź obejść od dotkniętych dostawców. Okoliczności łagodzące, takie jak aktywne wykorzystywanie, zagrożenia o szczególnie poważnym (lub błahym) charakterze albo sytuacje wymagające zmian w ustalonym standardzie, mogą skutkować wcześniejszym lub późniejszym ujawnieniem. Ujawnienia dokonywane przez CERT/CC będą zawierać wzmiankę o zgłaszającym, chyba że zgłaszający zażąda inaczej. Poinformujemy dotkniętych dostawców o naszych planach publikacji i w razie potrzeby wynegocjujemy z nimi alternatywne harmonogramy publikacji.

Celem tej polityki jest zrównoważenie potrzeby opinii publicznej, by być informowaną o podatnościach w zabezpieczeniach, z potrzebą dostawców, by mieć czas na skuteczną reakcję. Ostateczna decyzja o harmonogramie publikacji będzie oparta na najlepszym interesie całej społeczności.

Podatności zgłoszone nam będą przekazywane dotkniętym dostawcom tak szybko, jak to praktycznie możliwe po otrzymaniu zgłoszenia. Imię i nazwisko oraz dane kontaktowe zgłaszającego będą przekazywane dotkniętym dostawcom, chyba że zgłaszający zażąda inaczej. Będziemy informować zgłaszającego o istotnych zmianach statusu każdej zgłoszonej przez niego podatności w zakresie, w jakim jest to możliwe bez ujawniania informacji przekazanych nam w poufności.

Podatności będą ujawniane w Vulnerability Notes.

Zgłoszenia podatności dotyczące stron internetowych rządu USA będą przekazywane do US-CERT w celu koordynacji z rządem.

Często zadawane pytania

P: Czy to oznacza, że CERT/CC przechodzi na „pełne ujawnianie" (full disclosure)?

O: Nie będziemy rozpowszechniać exploitów, jeśli to właśnie oznacza „pełne ujawnianie". Z naszego doświadczenia wynika, że liczba osób, które mogą skorzystać z dostępności exploitów, jest niewielka w porównaniu z liczbą osób poszkodowanych przez ludzi używających exploitów w złych zamiarach. Będziemy jednak ujawniać informacje o podatnościach, których wcześniej moglibyśmy nie ujawnić. W granicach naszych zasobów będziemy publikować informacje o jak największej liczbie podatności.

P: Dlaczego nie 30 dni, 15 dni albo natychmiast?

O: Uważamy, że 45 dni może być dość trudnym terminem do dotrzymania dla dużej organizacji. Skrócenie go realistycznie nie pomoże w rozwiązaniu problemu. Przy braku dowodów wykorzystywania, bezpodstawne ogłaszanie podatności może nie leżeć w najlepszym interesie bezpieczeństwa publicznego.

P: Czy nie lepiej byłoby zachować podatności w tajemnicy, jeśli nie jest dostępna poprawka?

O: Podatności są rutynowo odkrywane i ujawniane, często zanim dostawcy mieli uczciwą możliwość przygotowania poprawki, a ujawnienie często obejmuje działające exploity. Z naszego doświadczenia wynika, że jeśli nie ma odpowiedzialnego, wykwalifikowanego ujawniania informacji o podatnościach, badacze, programiści, administratorzy systemów i inni specjaliści IT, którzy odkrywają podatności, często czują, że nie mają innego wyjścia niż upublicznić informacje, próbując zmusić dostawców do zajęcia się problemem.

P: Czy wszystkie podatności będą ujawniane w ciągu 45 dni?

O: Nie. Często mogą wystąpić okoliczności, które skłonią nas do dostosowania harmonogramu publikacji. Zagrożenia szczególnie poważne lub takie, co do których mamy dowody wykorzystywania, prawdopodobnie spowodują skrócenie naszego harmonogramu wydań. Zagrożenia wymagające „twardych" zmian (zmian w standardach, zmian w podstawowych komponentach systemu operacyjnego) spowodują wydłużenie naszego harmonogramu publikacji. Możemy nie publikować każdej podatności, która została nam zgłoszona.

P: Czy zaskoczycie dostawców ogłoszeniami o podatnościach?

O: Nie. Przed publicznym ujawnieniem dołożymy starań w dobrej wierze, aby poinformować dostawców o naszych zamiarach.

P: Jeśli dostawca nie zgadza się z waszą oceną problemu, czy ta informacja będzie dostępna?

O: Tak. Zabiegamy o uwierzytelnione oświadczenia dostawców i je publikujemy oraz odwołujemy się do odpowiednich informacji dostawców w vulnerability notes. Nie będziemy wstrzymywać informacji dostarczonych przez dostawcę tylko dlatego, że nie zgadzają się z naszą oceną problemu.

P: Kto otrzymuje informacje przed publicznym ujawnieniem?

O: Zasadniczo przekazujemy informacje każdemu, kto może przyczynić się do rozwiązania i z kim łączy nas relacja zaufania, w tym dostawcom (często także dostawcom, których produkty nie są podatne), ekspertom ze społeczności, sponsorom i witrynom będącym częścią krajowej infrastruktury krytycznej, jeśli uważamy, że są one zagrożone.

P: Czy ujawniacie każdą zgłoszoną podatność?

O: Nie. Możemy według własnego uznania odmówić koordynowania lub opublikowania zgłoszenia podatności. Decyzja ta opiera się zazwyczaj na zakresie i wadze podatności oraz naszej zdolności do wniesienia wartości do procesu koordynacji i ujawniania. Niezależnie od tego, czy koordynujemy lub publikujemy, zalecamy, aby zgłaszający dołożył starań w dobrej wierze, by powiadomić dotkniętego dostawcę i współpracować z nim bezpośrednio przed publicznym ujawnieniem.