Coordinated vulnerability disclosure

Koordinované zverejňovanie zraniteľností (CVD)

Ako nahlasovať, prijímať a koordinovať bezpečnostné zraniteľnosti, s príkladmi politík.

Koordinované zverejňovanie zraniteľností (Coordinated vulnerability disclosure, CVD) je pojem z oblasti počítačovej bezpečnosti. Opisuje, ako môžu ľudia zdieľať hlásenia o bezpečnostných problémoch. Príkladmi sú hlásenia chýb, riziká narušenia, varovania pred hackermi, úniky údajov, prelomenia webových stránok atď.

Preklady: العربية, Български, বাংলা, Čeština, Cymraeg, Dansk, Deutsch, Ελληνικά, English, Español, Eesti, Euskara, فارسی, Suomi, Français, Gaeilge, Gàidhlig, ગુજરાતી, Hausa, עברית, हिन्दी, Hrvatski, Magyar, Bahasa Indonesia, Íslenska, Italiano, 日本語, 한국어, Lietuvių, Latviešu, Nederlands, Polski, Português, Română, Русский, Slovenčina, Slovenščina, Svenska, Kiswahili, ไทย, Türkçe, Українська, اردو, Tiếng Việt, 中文

Obsah:

Zásady:

Úvod

Tento dokument vysvetľuje koordinované zverejňovanie zraniteľností spôsobom, ktorý môže pomôcť ľuďom spolupracovať.

Ciele dokumentu:

  1. Pomôcť ľuďom, ktorí objavia bezpečnostné problémy a chcú ich nahlásiť.

  2. Pomôcť zástupcom firiem pochopiť potreby, ciele, postupy a osobitné prípady zodpovedného zverejňovania.

  3. Zahrnúť do priečinka repozitára ukážkové zásady koordinovaného zverejňovania zraniteľností.

Vítame pull requesty, GitHub issues alebo e-mail na security@joelparkerhenderson.com.

Čo je koordinované zverejňovanie zraniteľností?

Koordinované zverejňovanie zraniteľností opisuje tri kroky, keď niekto objaví bezpečnostný problém (napríklad softvérovú chybu) a chce ho nahlásiť výrobcovi (napríklad firme, ktorá softvér vyrába).

Kroky:

  1. Objaviteľ nahlási problém súkromne a v dobrej viere výrobcovi.

  2. Výrobca sa v dobrej viere snaží chrániť používateľov a snaží sa problém vyriešiť.

  3. Po uplynutí stanoveného času sa bezpečnostný problém zverejní.

Krok 1: Nahláste problém

Krok 1 je pre objaviteľa: nahláste problém súkromne a v dobrej viere.

  • Dobre: Objaviteľ pošle relevantné informácie výrobcovi, napríklad e-mailom na bezpečnostnú e-mailovú adresu výrobcu (zvyčajne „security@example.com") alebo cez webový formulár na webovej stránke výrobcu (zvyčajne „https://www.example.com/security").

  • Zle: zverejnenie hlásenia na verejnom blogu, upozornenie médií, vyhrážky alebo pokusy predať bezpečnostný problém hackerom atď.

  • Tip: objaviteľ sa môže rozhodnúť zostať v anonymite; výrobca sa tiež môže rozhodnúť zostať v anonymite.

Ak chcete, sledujte problém naďalej.

  • Dobre: otvorenie komunikačných kanálov, poskytovanie ďalších informácií alebo sledovanie situácie.

  • Zle: zabudnúť na problém.

  • Tip: objaviteľ sa môže rozhodnúť, či bude pomáhať, či bude v kontakte, a môže tiež zmeniť dohodu, ak sa zmenia okolnosti.

Ak chcete, zverejnite problém aj iným.

  • Dobre: počkať stanovený čas a potom ísť na verejnosť, napríklad zverejnením relevantných informácií na spravodajskom webe o bezpečnosti, oslovením relevantných nezávislých bezpečnostných výskumníkov alebo oznámením problému na akejkoľvek verejnej sociálnej platforme atď.

  • Zle: nezverejniť problém iným, pokiaľ nemáte pocit, že by to spôsobilo vám alebo iným viac ako porovnateľné riziko.

  • Tip: ak sa okolnosti zmenia, napríklad sa objaví vyššie riziko alebo aktívne zneužívanie v praxi, objaviteľ môže problém zverejniť iným skôr.

Krok 2: Zabezpečte kontakty.

Krok 2 je pre výrobcu: zabezpečte, aby boli kontakty funkčné.

  • Dobre: Výrobca zverejní bezpečnostnú kontaktnú e-mailovú adresu (podľa konvencie „security@example.com") a ideálne aj bezpečný šifrovací kľúč pre e-mail.

  • Dobre: Výrobca zverejní bezpečnostnú kontaktnú webovú stránku (podľa konvencie „https://www.example.com/security") a ideálne zabezpečí, aby sa dala ľahko nájsť, napríklad v pätičke webu, na mape stránok a vo vyhľadávaní.

  • Zle: Výrobca neposkytuje e-mailovú adresu ani webovú stránku, alebo ich neuľahčuje nájsť.

Zabezpečte schopnosti zamestnancov.

  • Dobre: Výrobca školí zamestnancov podpory, čo robiť, ak dostanú bezpečnostný dopyt, napríklad ako odpovedať s kontaktnými údajmi alebo ako dopyt postúpiť správnemu internému tímu.

  • Dobre: Výrobca pravidelne overuje, či schopnosti zamestnancov fungujú.

  • Zle: Výrobca neškolí alebo neoveruje.

Odpovedzte objaviteľovi v rámci časovej lehoty.

  • Ak objaviteľ neurčí časovú lehotu, použite jeden pracovný deň, pretože je to štandard v odvetví a súčasná najlepšia prax.

  • Ak objaviteľ kladie otázky, odpovedzte na ne. Je to obzvlášť dôležité, ak objaviteľ žiada o povolenie testovať. Zabezpečte, aby všetky odpovede boli jasné a priame.

Odpovedzte objaviteľovi prostredníctvom oprávneného bezpečnostného kontaktu a/alebo oprávneného bezpečnostného procesu.

  • Dobre: odpoveď z bezpečnostnej e-mailovej adresy, napríklad „security@example.com".

  • Zle napríklad: odpoveď z univerzálnej e-mailovej adresy, napríklad „help@example.com", alebo od niekoho, kto nie je oprávneným bezpečnostným odborníkom.

Odpovedzte objaviteľovi, že problém je uznaný ako bezpečnostné hlásenie.

  • Dobre: formulácie špecifické pre bezpečnosť, napríklad „Náš bezpečnostný tím prijal vaše hlásenie o zodpovednom zverejnení", „Náš bezpečnostný proces má tieto ďalšie kroky" alebo „Vaše informácie sú teraz v našom bezpečnostnom trackeri pod číslom XYZ" atď.

  • Zle: všeobecné formulácie, napríklad „Ceníme si vašu priazeň" alebo „Bezpečnosť berieme vážne", formulácie prehadzujúce zodpovednosť, napríklad „Váš e-mail sme poslali inému oddeleniu" atď.

Krok 3: Konajte v dobrej viere

Krok 3 je pre objaviteľa a výrobcu spoločne: konajte v dobrej viere.

Uvedomte si, že koordinované zverejňovanie zraniteľností opisuje proces v dobrej viere.

  • Cieľ č. 1 je v dobrej viere pomáhať používateľom chrániť sa pred bezpečnostnými rizikami.

  • Cieľ č. 2 je v dobrej viere vyriešiť bezpečnostný problém.

  • Objaviteľ a/alebo výrobca sa môžu v dobrej viere rozhodnúť zapojiť ďalších bezpečnostných ľudí, napríklad osloviť ďalších relevantných bezpečnostných výskumníkov, aby pomohli s problémom.

Uvedomte si, že koordinované zverejňovanie zraniteľností nevytvára žiadnu povinnosť.

  • Objaviteľ a/alebo výrobca môžu kedykoľvek a z akéhokoľvek dôvodu vystúpiť, s upozornením alebo bez neho. Je zdvorilé informovať všetkých relevantných ľudí a udržiavať ich v obraze, no nie vždy je to možné, praktické alebo žiaduce.

  • Koordinované zverejňovanie zraniteľností nevytvára žiadnu právnu dohodu. Ak už objaviteľ a výrobca majú právnu dohodu, odporúčame, aby všetci zúčastnení konzultovali príslušných právnikov; nepoužívajte tento dokument ako právne poradenstvo.

Uvedomte si, že koordinované zverejňovanie zraniteľností sa usiluje o dobrú komunikáciu a o odmietanie vyhrážok.

  • Koordinované zverejňovanie zraniteľností je najlepšie vtedy, keď všetci zúčastnení chápu, že cieľom č. 1 je pomáhať používateľom chrániť sa pred bezpečnostnými rizikami a cieľom č. 2 je vyriešiť bezpečnostný problém.

  • Koordinované zverejňovanie zraniteľností odmieta akýkoľvek druh vyhrážok odvetou, zastrašovania, pozastavenia, odvolania, vydierania, bremena následného konania alebo obviňovania obete.

Uvedomte si, že koordinované zverejňovanie zraniteľností môže pre rôznych ľudí znamenať rôzne veci.

  • Objaviteľ a výrobca môžu mať odlišné chápanie koordinovaného zverejňovania zraniteľností. Tieto chápania sa nemusia zhodovať. Dobrá viera zahŕňa to, že to všetci zúčastnení chápu.

  • Niektorí výrobcovia zverejňujú zásady koordinovaného zverejňovania zraniteľností. Môžu byť užitočným usmernením. Ak sa objaviteľ rozhodne použiť iný druh koordinovaného zverejňovania zraniteľností alebo má iné chápanie zodpovedného zverejňovania, je to úplne v poriadku.

Uvedomte si, že objaviteľ zvyčajne robí službu vydavateľovi.

  • Objaviteľ zvyčajne nepotrebuje na zverejnenie zraniteľností povolenie od nikoho.

  • Informácie objaviteľa zvyčajne vydavateľovi pomáhajú.

Overte úspech

Po vyriešení problému musí výrobca overiť úspech.

  • Zvládli všetci ľudia a procesy zverejnenie úspešne? Ak áno, dobre. Ak nie, zvážte následný výskum, napríklad analýzu základnej príčiny (RCA), správy po udalosti (post-mortem), Išikawove diagramy alebo kauzálnu analýzu založenú na teórii systémov (CAST).

  • Sú všetky nevyriešené problémy zatriedené a sledované?

  • Chápu výrobca aj objaviteľ, čo robiť v ďalších krokoch? Je obzvlášť dôležité mať to správne vyriešené pre prípad, že by mohli nasledovať ďalšie koordinované zverejnenia zraniteľností.

Usmernenie

Usmernenie pre koordinované zverejňovanie zraniteľností môže pochádzať z mnohých oblastí, napríklad od odborníkov na etiku, právnych zástancov, primeraných očakávaní širokej verejnosti atď.

Ak hľadáte usmernenie, môžu vás zaujímať tieto tri oblasti, všetky opísané nižšie.

  • Dobrý samaritán

  • Povinnosť poskytnúť pomoc

  • Povinnosť náležitej starostlivosti

Dobrý samaritán

Wikipedia: Good Samaritan law

Zákony o dobrom samaritánovi poskytujú právnu ochranu ľuďom, ktorí poskytnú primeranú pomoc tým, ktorí sú zranení, chorí, v ohrození alebo inak nespôsobilí, alebo o ktorých sa domnievajú, že sú. Ochrana má znížiť váhanie okolostojacich pomôcť zo strachu pred žalobou alebo trestným stíhaním.

Povinnosť poskytnúť pomoc

Wikipedia: Duty to rescue

Povinnosť poskytnúť pomoc je pojem opisujúci okolnosť, v ktorej môže byť strana braná na zodpovednosť za to, že neprišla na pomoc inej strane v ohrození. Povinnosť poskytnúť pomoc môže mať morálne a/alebo právne oblasti.

Povinnosť náležitej starostlivosti

Wikipedia: Duty of care

Povinnosť náležitej starostlivosti je záväzok dodržiavať štandard primeranej starostlivosti pri vykonávaní akýchkoľvek činov, ktoré by mohli predvídateľne poškodiť iných. Povinnosť náležitej starostlivosti môže mať morálne a/alebo právne oblasti. Niektoré aspekty na zváženie sú: predvídateľnosť ujmy alebo zranenia, možný rozsah potenciálnej ujmy alebo zranenia, dôležitosť alebo spoločenská hodnota vykonávanej činnosti, užitočnosť konania pre žalovaného, uskutočniteľnosť alternatívneho konania, náklady a záťaže spojené s alternatívnym konaním, relatívna užitočnosť alternatívneho konania a relatívna bezpečnosť alternatívneho konania.

Osobitné prípady

Naše bezpečnostné tímy videli širokú škálu osobitných prípadov.

Opisujeme ich tu, aby sme ľuďom pomohli pochopiť, kde existuje široká škála názorov na to, čo môže byť v poriadku a čo nie. Odporúčame, aby všetci zúčastnení o nich komunikovali v dobrej viere.

Prístup k informáciám iných používateľov

Príklad: zistíte, že URL obsahuje vaše používateľské ID, odhaľuje chybu a domnievate sa, že môžete URL upraviť a zmeniť svoje používateľské ID na ID iného používateľa.

  • Je v poriadku, aby to objaviteľ urobil, napríklad s jediným cieľom zistiť, či to postihuje aj ďalších používateľov?

  • Je dôležitejšie rýchlo pochopiť rozsah rizika pre všetkých používateľov, než chrániť pár používateľov, ktorých informácie už môžu byť pre hackerov viditeľné?

  • Je v poriadku, aby to objaviteľ urobil s ľubovoľným počtom používateľov?

  • Je v poriadku, aby sa objaviteľ pokúsil kontaktovať používateľov a dať im vedieť, že sú postihnutí? Je v poriadku ponúknuť návrhy na zmiernenie?

Odmietnutie služby

Príklad: objavíte chybu, ktorá náhodne pozastaví váš účet, napríklad spustením zámku hesla.

  • Považuje sa to za útok odmietnutím služby?

Nevyžiadaný e-mail

Príklad: pokúsite sa nahlásiť bezpečnostný problém ľuďom vo firme, ktorých považujete za relevantných a ktorých nájdete výskumom na LinkedIne, Facebooku atď., alebo použitím konvencií pomenovania, ako „webmaster@example.com" alebo „security@example.com".

  • Je to v poriadku?

  • Považuje sa to za nevyžiadaný e-mail?

  • Považuje sa to za neoprávnený e-mail?

Vylúčené skupiny

Príklad: patríte do vylúčenej skupiny, napríklad ste maloletý, nachádzate sa na sankčnom zozname alebo ste v krajine, ktorá je na sankčnom zozname.

  • Je v poriadku, aby ste podali hlásenie?

  • Je v poriadku nahlásiť problém anonymne?

  • Je v poriadku zámerne zmeniť potenciálne identifikujúce informácie, napríklad aby ste unikli vylúčenej skupine, a s cieľom pomôcť, aby zverejnenie dorazilo k správnym ľuďom?

Tretia strana

Príklad: zistíte, že softvér firmy má chybu týkajúcu sa tretej strany, napríklad integrácie s iným softvérom alebo inou webovou stránkou.

  • Je v poriadku, aby ste všetky informácie, ktoré nájdete, nahlásili obom stranám?

  • Je potrebné urobiť dve rôzne zodpovedné zverejnenia, napríklad jedno hlásenie jednej firme a iné hlásenie firme tretej strany, s cieľom obmedziť informácie zasielané každej firme?

  • Je v poriadku, aby objaviteľ dal firmy do kontaktu navzájom?

Rušivý softvér

Príklad: ste dostatočne zručný, aby ste vedeli napísať vírus, o ktorom sa domnievate, že pravdepodobne pomôže používateľom chrániť sa pred bezpečnostným rizikom, zistiť, či sú ohrození, alebo bezpečnostné riziko odstrániť.

  • Je to v poriadku?

  • Je v poriadku, aby objaviteľ nasmeroval používateľov na takýto softvér a/alebo na príručky či návody, ktoré opisujú, ako takýto druh softvéru vytvoriť?

Koordinované zverejňovanie zraniteľností vs. zodpovedné zverejňovanie

Koordinované zverejňovanie zraniteľností je preferovaný pojem.

  • Najdôležitejším aspektom je koordinácia medzi objaviteľom a výrobcom.

Zodpovedné zverejňovanie je zavrhnutý pojem.

  • Ľudia majú rôzne názory na to, čo znamená byť zodpovedný. Niektorí napríklad zastávajú názor, že je zodpovedné, aby objaviteľ okamžite informoval verejnosť bez ohľadu na akúkoľvek interakciu s výrobcom, a nezodpovedné robiť koordinované zverejňovanie zraniteľností, pretože skrýva informácie pred verejnosťou.

Sledovanie