Coordinated vulnerability disclosureCERT: Politika razkrivanja ranljivosti
- Kontakt: ?
- Spletno mesto: http://www.cert.org/vulnerability-analysis/vul-disclosure.cfm
- Preverjeno: 2017-09-21
Ranljivosti, prijavljene CERT/CC, bodo javno razkrite 45 dni po začetni prijavi, ne glede na obstoj ali razpoložljivost popravkov ali rešitev za obhod prizadetih dobaviteljev. Olajševalne okoliščine, kot so aktivno izkoriščanje, grožnje posebej resne (ali nepomembne) narave ali razmere, ki zahtevajo spremembe uveljavljenega standarda, lahko povzročijo zgodnejše ali poznejše razkritje. Razkritja CERT/CC bodo vključevala zasluge za prijavitelja, razen če prijavitelj zahteva drugače. Prizadete dobavitelje bomo obvestili o svojih načrtih objave in se po potrebi z njimi pogajali o drugačnih urnikih objave.
Cilj te politike je uravnotežiti potrebo javnosti po obveščenosti o varnostnih ranljivostih s potrebo dobaviteljev po času za učinkovit odziv. Končna odločitev o urniku objave bo temeljila na najboljšem interesu skupnosti kot celote.
Ranljivosti, ki so nam prijavljene, bodo posredovane prizadetim dobaviteljem, takoj ko bo to po prejemu poročila izvedljivo. Ime in kontaktni podatki prijavitelja bodo posredovani prizadetim dobaviteljem, razen če prijavitelj zahteva drugače. Prijavitelja bomo obvestili o pomembnih spremembah stanja katere koli ranljivosti, ki jo je prijavil, v obsegu, ki je mogoč brez razkritja informacij, ki so nam bile zaupane.
Ranljivosti bodo razkrite v Vulnerability Notes.
Poročila o ranljivostih spletnih mest ameriške vlade bodo posredovana US-CERT za usklajevanje z vlado.
Pogosto zastavljena vprašanja
V: Ali to pomeni, da CERT/CC prehaja na »polno razkritje« (full disclosure)?
O: Ne bomo razširjali eksploitov, če to pomeni »polno razkritje«. Po naših izkušnjah je število ljudi, ki jim koristi razpoložljivost eksploitov, majhno v primerjavi s številom ljudi, ki jim škodujejo tisti, ki eksploite uporabljajo zlonamerno. Bomo pa razkrivali informacije o ranljivostih, ki jih morda prej nismo razkrili. V mejah svojih virov bomo objavili informacije o čim več ranljivostih.
V: Zakaj ne 30 dni, ali 15 dni, ali takoj?
O: Menimo, da je 45 dni lahko precej zahteven rok za veliko organizacijo. Skrajšanje ne bo realno pomagalo pri težavi. Ob odsotnosti dokazov o izkoriščanju brezvezno objavljanje ranljivosti morda ni v najboljšem interesu javne varnosti.
V: Ali ne bi bilo bolje ranljivosti zadržati, če popravek ni na voljo?
O: Ranljivosti se rutinsko odkrivajo in razkrivajo, pogosto preden so imeli dobavitelji pošteno priložnost za popravek, razkritje pa pogosto vključuje delujoče eksploite. Po naših izkušnjah raziskovalci, programerji, sistemski skrbniki in drugi strokovnjaki za IT, ki odkrijejo ranljivosti, pogosto menijo, da nimajo druge izbire, kot da informacije objavijo, če ni odgovornega, usposobljenega razkrivanja informacij o ranljivostih, v poskusu, da bi dobavitelje prisilili k reševanju težave.
V: Ali bodo vse ranljivosti razkrite v 45 dneh?
O: Ne. Pogosto lahko nastopijo okoliščine, zaradi katerih bomo prilagodili urnik objave. Grožnje, ki so posebej resne ali za katere imamo dokaze o izkoriščanju, bodo verjetno privedle do skrajšanja urnika izdaje. Grožnje, ki zahtevajo »trde« spremembe (spremembe standardov, spremembe osrednjih komponent operacijskega sistema), bodo privedle do podaljšanja urnika objave. Morda ne bomo objavili vsake ranljivosti, ki nam je prijavljena.
V: Ali boste dobavitelje presenetili z objavami ranljivosti?
O: Ne. Pred javnim razkritjem si bomo v dobri veri prizadevali dobavitelje obvestiti o svojih namerah.
V: Če se dobavitelj ne strinja z vašo oceno težave, ali bo ta informacija na voljo?
O: Da. Zahtevamo in objavljamo overjene izjave dobaviteljev ter v vulnerability notes navajamo ustrezne informacije dobaviteljev. Informacij, ki jih posreduje dobavitelj, ne bomo zadrževali samo zato, ker se ne strinjajo z našo oceno težave.
V: Kdo prejme informacije pred javnim razkritjem?
O: Na splošno informacije posredujemo vsakomur, ki lahko prispeva k rešitvi in s katerim imamo zaupen odnos, vključno z dobavitelji (pogosto tudi z dobavitelji, katerih izdelki niso ranljivi), strokovnjaki iz skupnosti, sponzorji in spletnimi mesti, ki so del nacionalne kritične infrastrukture, če menimo, da so ta mesta ogrožena.
V: Ali razkrijete vsako prijavljeno ranljivost?
O: Ne. Po lastni presoji lahko zavrnemo koordinacijo ali objavo poročila o ranljivosti. Ta odločitev na splošno temelji na obsegu in resnosti ranljivosti ter naši zmožnosti, da procesu koordinacije in razkritja dodamo vrednost. Ne glede na to, ali koordiniramo ali objavimo, priporočamo, da si prijavitelj v dobri veri prizadeva obvestiti prizadetega dobavitelja in z njim neposredno sodelovati pred javnim razkritjem.