Coordinated vulnerability disclosure
← Politici

CERT: politica de divulgare a vulnerabilităților

Vulnerabilitățile raportate către CERT/CC vor fi divulgate publicului la 45 de zile după raportul inițial, indiferent de existența sau disponibilitatea patch-urilor sau a soluțiilor de ocolire de la furnizorii afectați. Circumstanțele atenuante, cum ar fi exploatarea activă, amenințările de natură deosebit de gravă (sau banală) sau situațiile care necesită modificări ale unui standard stabilit, pot duce la o divulgare mai devreme sau mai târziu. Divulgările făcute de CERT/CC vor include recunoașterea raportorului, cu excepția cazului în care raportorul solicită altfel. Vom informa furnizorii afectați despre planurile noastre de publicare și vom negocia calendare alternative de publicare cu furnizorii afectați atunci când este necesar.

Scopul acestei politici este de a echilibra nevoia publicului de a fi informat despre vulnerabilitățile de securitate cu nevoia furnizorilor de timp pentru a răspunde eficient. Determinarea finală a unui calendar de publicare se va baza pe interesul superior al comunității în ansamblu.

Vulnerabilitățile raportate nouă vor fi transmise furnizorilor afectați cât mai curând posibil în practică după primirea raportului. Numele și informațiile de contact ale raportorului vor fi transmise furnizorilor afectați, cu excepția cazului în care raportorul solicită altfel. Vom informa raportorul despre schimbările semnificative ale stării oricărei vulnerabilități pe care a raportat-o, în măsura posibilului, fără a dezvălui informații care ne-au fost furnizate în confidențialitate.

Vulnerabilitățile vor fi divulgate în Vulnerability Notes.

Rapoartele de vulnerabilitate pentru site-urile web ale guvernului SUA vor fi transmise către US-CERT pentru coordonare cu guvernul.

Întrebări frecvente

Î: Înseamnă aceasta că CERT/CC trece la „full disclosure"?

R: Nu vom distribui exploit-uri, dacă asta înseamnă „full disclosure". Din experiența noastră, numărul de persoane care pot beneficia de disponibilitatea exploit-urilor este mic în comparație cu numărul de persoane care sunt afectate de cei care folosesc exploit-uri cu rea-intenție. Vom divulga, totuși, informații despre vulnerabilități pe care poate nu le-am fi divulgat anterior. În limitele resurselor noastre, vom publica informații despre cât mai multe vulnerabilități posibil.

Î: De ce nu 30 de zile, sau 15 zile, sau imediat?

R: Credem că 45 de zile pot fi un termen destul de dificil de respectat pentru o organizație mare. Scurtarea lui nu ar ajuta în mod realist problema. În absența dovezilor de exploatare, anunțarea gratuită a vulnerabilităților poate să nu fie în interesul superior al siguranței publice.

Î: Nu ar fi mai bine să se păstreze vulnerabilitățile secrete dacă nu este disponibilă o remediere?

R: Vulnerabilitățile sunt descoperite și divulgate în mod curent, adesea înainte ca furnizorii să fi avut o oportunitate corectă de a oferi o remediere, iar divulgarea include adesea exploit-uri funcționale. Din experiența noastră, dacă nu există o divulgare responsabilă și calificată a informațiilor despre vulnerabilități, cercetătorii, programatorii, administratorii de sistem și alți profesioniști IT care descoperă vulnerabilități simt adesea că nu au de ales decât să facă informațiile publice în încercarea de a-i constrânge pe furnizori să abordeze problema.

Î: Vor fi toate vulnerabilitățile divulgate în 45 de zile?

R: Nu. Pot exista adesea circumstanțe care ne vor determina să ne ajustăm calendarul de publicare. Amenințările deosebit de grave sau pentru care avem dovezi de exploatare vor determina probabil scurtarea calendarului nostru de lansare. Amenințările care necesită modificări „dificile" (modificări ale standardelor, modificări ale componentelor de bază ale sistemului de operare) vor determina prelungirea calendarului nostru de publicare. Este posibil să nu publicăm fiecare vulnerabilitate care ne este raportată.

Î: Veți surprinde furnizorii cu anunțuri de vulnerabilități?

R: Nu. Înainte de divulgarea publică, vom depune un efort de bună-credință pentru a informa furnizorii despre intențiile noastre.

Î: Dacă un furnizor nu este de acord cu evaluarea dumneavoastră a unei probleme, vor fi disponibile acele informații?

R: Da. Solicităm și postăm declarații autentificate ale furnizorilor și facem referire la informațiile relevante ale furnizorilor în vulnerability notes. Nu vom reține informațiile furnizate de furnizor doar pentru că nu sunt de acord cu evaluarea noastră a problemei.

Î: Cine primește informațiile înainte de divulgarea publică?

R: În general, oferim informațiile oricui poate contribui la soluție și cu care avem o relație de încredere, inclusiv furnizorilor (adesea inclusiv furnizorilor ale căror produse nu sunt vulnerabile), experților din comunitate, sponsorilor și site-urilor care fac parte dintr-o infrastructură critică națională, dacă credem că aceste site-uri sunt în pericol.

Î: Divulgați fiecare vulnerabilitate raportată?

R: Nu. Putem, la discreția noastră, să refuzăm să coordonăm sau să publicăm un raport de vulnerabilitate. Această decizie se bazează în general pe amploarea și gravitatea vulnerabilității și pe capacitatea noastră de a adăuga valoare procesului de coordonare și divulgare. Fie că coordonăm sau publicăm, fie că nu, recomandăm raportorului să depună un efort de bună-credință pentru a notifica și a lucra direct cu furnizorul afectat înainte de divulgarea publică.