Coordinated vulnerability disclosure
← Zásady

CERT: Zásady zverejňovania zraniteľností

Zraniteľnosti nahlásené CERT/CC budú zverejnené verejnosti 45 dní po prvotnom nahlásení, bez ohľadu na existenciu alebo dostupnosť záplat či náhradných riešení od dotknutých dodávateľov. Poľahčujúce okolnosti, ako aktívne zneužívanie, hrozby obzvlášť závažného (alebo triviálneho) charakteru alebo situácie vyžadujúce zmeny v zavedenom štandarde, môžu viesť k skoršiemu alebo neskoršiemu zverejneniu. Zverejnenia CERT/CC budú obsahovať uznanie pre nahlasovateľa, pokiaľ nahlasovateľ nepožiada inak. Dotknutých dodávateľov budeme informovať o našich plánoch zverejnenia a v prípade potreby s nimi budeme rokovať o alternatívnych harmonogramoch zverejnenia.

Cieľom týchto zásad je vyvážiť potrebu verejnosti byť informovaná o bezpečnostných zraniteľnostiach s potrebou dodávateľov mať čas na účinnú reakciu. Konečné určenie harmonogramu zverejnenia bude vychádzať z najlepšieho záujmu komunity ako celku.

Zraniteľnosti, ktoré nám budú nahlásené, budú postúpené dotknutým dodávateľom, hneď ako to bude po prijatí hlásenia prakticky možné. Meno a kontaktné údaje nahlasovateľa budú postúpené dotknutým dodávateľom, pokiaľ nahlasovateľ nepožiada inak. Nahlasovateľa budeme informovať o významných zmenách stavu akejkoľvek zraniteľnosti, ktorú nahlásil, v rozsahu, v akom je to možné bez odhalenia informácií, ktoré nám boli poskytnuté dôverne.

Zraniteľnosti budú zverejnené v Vulnerability Notes.

Hlásenia o zraniteľnostiach webových stránok vlády USA budú postúpené US-CERT na koordináciu s vládou.

Často kladené otázky

Otázka: Znamená to, že CERT/CC prechádza na „úplné zverejňovanie" (full disclosure)?

Odpoveď: Nebudeme distribuovať exploity, ak to „úplné zverejňovanie" znamená. Podľa našich skúseností je počet ľudí, ktorí môžu mať úžitok z dostupnosti exploitov, malý v porovnaní s počtom ľudí, ktorým škodia tí, čo exploity zneužívajú. Budeme však zverejňovať informácie o zraniteľnostiach, ktoré sme možno predtým nezverejnili. V medziach našich zdrojov zverejníme informácie o čo najväčšom počte zraniteľností.

Otázka: Prečo nie 30 dní, alebo 15 dní, alebo okamžite?

Odpoveď: Myslíme si, že 45 dní môže byť pre veľkú organizáciu dosť náročná lehota. Jej skrátenie reálne nepomôže problému. Ak nie sú dôkazy o zneužívaní, bezdôvodné oznamovanie zraniteľností nemusí byť v najlepšom záujme verejnej bezpečnosti.

Otázka: Nebolo by lepšie udržať zraniteľnosti v tajnosti, ak nie je k dispozícii oprava?

Odpoveď: Zraniteľnosti sa bežne objavujú a zverejňujú, často skôr, než dodávatelia mali férovú príležitosť poskytnúť opravu, a zverejnenie často zahŕňa funkčné exploity. Podľa našich skúseností, ak nie je zodpovedné a kvalifikované zverejňovanie informácií o zraniteľnostiach, výskumníci, programátori, správcovia systémov a ďalší IT odborníci, ktorí zraniteľnosti objavia, často cítia, že nemajú inú možnosť než informácie zverejniť v snahe prinútiť dodávateľov, aby sa problémom zaoberali.

Otázka: Budú všetky zraniteľnosti zverejnené do 45 dní?

Odpoveď: Nie. Často môžu nastať okolnosti, ktoré nás prinútia upraviť náš harmonogram zverejnenia. Hrozby, ktoré sú obzvlášť závažné alebo pri ktorých máme dôkazy o zneužívaní, pravdepodobne povedú k skráteniu nášho harmonogramu vydania. Hrozby, ktoré vyžadujú „tvrdé" zmeny (zmeny štandardov, zmeny základných komponentov operačného systému), povedú k predĺženiu nášho harmonogramu zverejnenia. Nemusíme zverejniť každú zraniteľnosť, ktorá nám bude nahlásená.

Otázka: Prekvapíte dodávateľov oznámeniami o zraniteľnostiach?

Odpoveď: Nie. Pred verejným zverejnením sa v dobrej viere pokúsime informovať dodávateľov o našich zámeroch.

Otázka: Ak dodávateľ nesúhlasí s vaším posúdením problému, budú tieto informácie dostupné?

Odpoveď: Áno. Vyžiadame si a zverejníme overené vyhlásenia dodávateľov a odkazujeme na relevantné informácie dodávateľov vo vulnerability notes. Nebudeme zadržiavať informácie poskytnuté dodávateľom len preto, že nesúhlasia s naším posúdením problému.

Otázka: Kto dostane informácie pred verejným zverejnením?

Odpoveď: Vo všeobecnosti poskytujeme informácie každému, kto môže prispieť k riešeniu a s kým máme dôverný vzťah, vrátane dodávateľov (často aj dodávateľov, ktorých produkty nie sú zraniteľné), odborníkov z komunity, sponzorov a stránok, ktoré sú súčasťou národnej kritickej infraštruktúry, ak sa domnievame, že tieto stránky sú v ohrození.

Otázka: Zverejňujete každú nahlásenú zraniteľnosť?

Odpoveď: Nie. Môžeme podľa vlastného uváženia odmietnuť koordináciu alebo zverejnenie hlásenia o zraniteľnosti. Toto rozhodnutie vo všeobecnosti vychádza z rozsahu a závažnosti zraniteľnosti a našej schopnosti pridať hodnotu procesu koordinácie a zverejnenia. Bez ohľadu na to, či koordinujeme alebo zverejňujeme, odporúčame, aby sa nahlasovateľ v dobrej viere pokúsil upozorniť dotknutého dodávateľa a pred verejným zverejnením s ním priamo spolupracoval.