Coordinated vulnerability disclosure
← Политики

CERT: Политика раскрытия уязвимостей

Об уязвимостях, о которых сообщено в CERT/CC, будет объявлено публично через 45 дней после первоначального сообщения, независимо от наличия или доступности исправлений или обходных решений от затронутых производителей. Смягчающие обстоятельства, такие как активная эксплуатация, угрозы особенно серьёзного (или тривиального) характера или ситуации, требующие изменения установленного стандарта, могут привести к более раннему или более позднему раскрытию. Раскрытия, осуществляемые CERT/CC, будут содержать указание заслуги автора сообщения, если он не потребует иного. Мы уведомим любых затронутых производителей о наших планах публикации и при необходимости согласуем с ними альтернативные графики публикации.

Цель этой политики — сбалансировать потребность общества в информации об уязвимостях безопасности и потребность производителей во времени для эффективного реагирования. Окончательное решение о графике публикации будет основано на наилучших интересах сообщества в целом.

Уязвимости, о которых нам сообщают, будут переданы затронутым производителям, как только это практически возможно после получения сообщения. Имя и контактные данные автора сообщения будут переданы затронутым производителям, если он не потребует иного. Мы будем уведомлять автора сообщения о существенных изменениях в статусе любой сообщённой им уязвимости в той мере, в какой это возможно без раскрытия информации, предоставленной нам конфиденциально.

Об уязвимостях будет объявлено в Vulnerability Notes (бюллетенях об уязвимостях).

Сообщения об уязвимостях для веб-сайтов правительства США будут переданы в US-CERT для координации с правительством.

Часто задаваемые вопросы

В: Означает ли это, что CERT/CC переходит к «полному раскрытию» (full disclosure)?

О: Мы не будем распространять эксплойты, если именно это подразумевается под «полным раскрытием». По нашему опыту, число людей, которые могут извлечь пользу от доступности эксплойтов, невелико по сравнению с числом людей, пострадавших от тех, кто использует эксплойты со злым умыслом. Однако мы будем раскрывать информацию об уязвимостях, которую, возможно, не раскрывали ранее. В пределах наших ресурсов мы будем публиковать информацию о как можно большем числе уязвимостей.

В: Почему не 30 дней, или 15 дней, или немедленно?

О: Мы считаем, что 45 дней могут быть довольно жёстким сроком для крупной организации. Сокращение срока реально не поможет решить проблему. При отсутствии доказательств эксплуатации огульное объявление уязвимостей может не отвечать интересам общественной безопасности.

В: Не лучше ли хранить уязвимости в тайне, если исправления нет?

О: Уязвимости регулярно обнаруживаются и раскрываются, зачастую прежде чем у производителей была справедливая возможность предоставить исправление, и раскрытие нередко включает работающие эксплойты. По нашему опыту, при отсутствии ответственного, квалифицированного раскрытия информации об уязвимостях исследователи, программисты, системные администраторы и другие ИТ-специалисты, обнаружившие уязвимости, часто чувствуют, что у них нет иного выбора, кроме как обнародовать информацию в попытке принудить производителей заняться проблемой.

В: Будут ли все уязвимости раскрыты в течение 45 дней?

О: Нет. Часто могут возникать обстоятельства, заставляющие нас корректировать график публикации. Угрозы, которые особенно серьёзны или для которых у нас есть доказательства эксплуатации, скорее всего заставят нас сократить график выпуска. Угрозы, требующие «жёстких» изменений (изменений стандартов, изменений основных компонентов операционной системы), заставят нас продлить график публикации. Мы можем не публиковать каждую уязвимость, о которой нам сообщено.

В: Будете ли вы удивлять производителей объявлениями об уязвимостях?

О: Нет. Перед публичным раскрытием мы добросовестно постараемся уведомить производителей о наших намерениях.

В: Если производитель не согласен с вашей оценкой проблемы, будет ли эта информация доступна?

О: Да. Мы запрашиваем и публикуем заверенные заявления производителей и ссылаемся на соответствующую информацию производителей в бюллетенях об уязвимостях. Мы не будем скрывать информацию, предоставленную производителем, только потому, что она расходится с нашей оценкой проблемы.

В: Кто получает информацию до публичного раскрытия?

О: Как правило, мы предоставляем информацию всем, кто может внести вклад в решение и с кем у нас доверительные отношения, включая производителей (часто в том числе производителей, чьи продукты не уязвимы), экспертов сообщества, спонсоров и сайты, входящие в национальную критическую инфраструктуру, если мы считаем, что этим сайтам угрожает опасность.

В: Раскрываете ли вы каждую сообщённую уязвимость?

О: Нет. Мы можем по своему усмотрению отказаться координировать или публиковать сообщение об уязвимости. Это решение, как правило, основано на масштабе и серьёзности уязвимости и на нашей способности добавить ценности процессу координации и раскрытия. Независимо от того, координируем мы или публикуем, мы рекомендуем автору сообщения добросовестно постараться уведомить затронутого производителя и работать непосредственно с ним до публичного раскрытия.