Coordinated vulnerability disclosure
← Políticas

CERT: Política de divulgação de vulnerabilidades

As vulnerabilidades comunicadas ao CERT/CC serão divulgadas ao público 45 dias após o relatório inicial, independentemente da existência ou disponibilidade de correções ou soluções alternativas por parte dos fornecedores afetados. Circunstâncias atenuantes, como exploração ativa, ameaças de natureza especialmente grave (ou trivial) ou situações que exijam alterações a uma norma estabelecida, podem resultar numa divulgação mais cedo ou mais tarde. As divulgações feitas pelo CERT/CC incluirão o crédito ao autor do relatório, a menos que este solicite o contrário. Informaremos quaisquer fornecedores afetados dos nossos planos de publicação e negociaremos calendários de publicação alternativos com os fornecedores afetados quando necessário.

O objetivo desta política é equilibrar a necessidade de o público ser informado sobre vulnerabilidades de segurança com a necessidade de tempo dos fornecedores para responder eficazmente. A determinação final de um calendário de publicação basear-se-á nos melhores interesses da comunidade em geral.

As vulnerabilidades que nos forem comunicadas serão encaminhadas para os fornecedores afetados logo que seja praticável após recebermos o relatório. O nome e a informação de contacto do autor do relatório serão encaminhados para os fornecedores afetados, a menos que este solicite o contrário. Informaremos o autor do relatório de alterações significativas no estado de qualquer vulnerabilidade que tenha comunicado, na medida do possível sem revelar informação que nos tenha sido fornecida em confidencialidade.

As vulnerabilidades serão divulgadas em Vulnerability Notes (Notas de Vulnerabilidade).

Os relatórios de vulnerabilidades de sítios web do Governo dos EUA serão encaminhados para o US-CERT para coordenação com o governo.

Perguntas frequentes

P: Isto significa que o CERT/CC vai passar para a "divulgação total" (full disclosure)?

R: Não distribuiremos exploits, se é isso que "divulgação total" significa. Na nossa experiência, o número de pessoas que podem beneficiar da disponibilidade de exploits é pequeno em comparação com o número de pessoas prejudicadas por quem usa exploits de forma maliciosa. Divulgaremos, no entanto, informação sobre vulnerabilidades que talvez não tivéssemos divulgado anteriormente. Dentro dos limites dos nossos recursos, publicaremos informação sobre o maior número de vulnerabilidades possível.

P: Porque não 30 dias, ou 15 dias, ou imediatamente?

R: Pensamos que 45 dias podem ser um prazo bastante difícil de cumprir para uma grande organização. Encurtá-lo não ajudará realisticamente o problema. Na ausência de provas de exploração, anunciar gratuitamente vulnerabilidades pode não ser do melhor interesse da segurança pública.

P: Não seria melhor manter as vulnerabilidades em silêncio se não houver correção disponível?

R: As vulnerabilidades são descobertas e divulgadas rotineiramente, frequentemente antes de os fornecedores terem tido uma oportunidade justa de fornecer uma correção, e a divulgação inclui muitas vezes exploits funcionais. Na nossa experiência, se não houver divulgação responsável e qualificada de informação sobre vulnerabilidades, os investigadores, programadores, administradores de sistemas e outros profissionais de TI que descobrem vulnerabilidades sentem muitas vezes que não têm outra opção senão tornar a informação pública numa tentativa de pressionar os fornecedores a resolver o problema.

P: Todas as vulnerabilidades serão divulgadas em 45 dias?

R: Não. Pode muitas vezes haver circunstâncias que nos levem a ajustar o nosso calendário de publicação. Ameaças especialmente graves ou para as quais temos provas de exploração levarão provavelmente a encurtar o nosso calendário de divulgação. Ameaças que exijam alterações "difíceis" (alterações a normas, alterações a componentes centrais do sistema operativo) levarão a prolongar o nosso calendário de publicação. Podemos não publicar todas as vulnerabilidades que nos são comunicadas.

P: Vão surpreender os fornecedores com anúncios de vulnerabilidades?

R: Não. Antes da divulgação pública, faremos um esforço de boa-fé para informar os fornecedores das nossas intenções.

P: Se um fornecedor discordar da vossa avaliação de um problema, essa informação estará disponível?

R: Sim. Solicitamos e publicamos declarações autenticadas de fornecedores e referenciamos informação relevante dos fornecedores nas notas de vulnerabilidade. Não reteremos informação fornecida pelo fornecedor simplesmente porque discorda da nossa avaliação do problema.

P: Quem recebe a informação antes da divulgação pública?

R: Em geral, fornecemos a informação a quem possa contribuir para a solução e com quem tenhamos uma relação de confiança, incluindo fornecedores (muitas vezes incluindo fornecedores cujos produtos não são vulneráveis), peritos da comunidade, patrocinadores e sítios que fazem parte de uma infraestrutura crítica nacional, se acreditarmos que esses sítios estão em risco.

P: Divulgam todas as vulnerabilidades comunicadas?

R: Não. Podemos, a nosso critério, recusar-nos a coordenar ou publicar um relatório de vulnerabilidade. Esta decisão baseia-se geralmente no âmbito e na gravidade da vulnerabilidade e na nossa capacidade de acrescentar valor ao processo de coordenação e divulgação. Quer coordenemos ou publiquemos, quer não, recomendamos que o autor do relatório faça um esforço de boa-fé para notificar o fornecedor afetado e trabalhar diretamente com ele antes da divulgação pública.