NCSC.nl

1. Uvod

Družba se vse bolj digitalizira. Dandanes skoraj vsi procesi na neki točki vključujejo uporabo računalnikov, od mobilnih telefonov do specializirane programske opreme. Čeprav ta razvoj ustvarja številne nove priložnosti, imajo ranljivosti v informacijskih sistemih lahko velik vpliv. Zato je treba z znanjem o teh ranljivostih ravnati učinkovito.

Več organizacij je v začetku leta 2013 začelo objavljati politike o tem, kako prijaviti ranljivosti. Po posvetovanju s temi strankami je Nacionalni center za kibernetsko varnost (NCSC) povzel razvoj v obliki »Smernic za doseganje prakse odgovornega razkrivanja« (»Leidraad om te komen tot een praktijk van Responsible Disclosure«; »Smernice«). Podjetja s to politiko nakazujejo, da so odprta za prejemanje zunanjih prijav ranljivosti, opisujejo svoje pogoje in dajejo obljube. Ta proces je ustvaril jasnost in nekoliko varno okolje, v katerem lahko prijavitelji raziskujejo in prijavljajo ranljivosti, ne da bi neposredno storili kaznivo dejanje. Na visokem srečanju EU o kibernetski varnosti leta 2016 je 29 organizacij znova potrdilo pomen politike za ravnanje z ranljivostmi s podpisom Manifesta o koordiniranem razkrivanju ranljivosti1, ki sta ga sprožila CIO Platform Nederland in Rabobank v sodelovanju z NCSC.

Koordinirano razkrivanje ranljivosti (CVD) se je izkazalo za zelo pomembno za javne in zasebne subjekte. V vsakodnevni praksi so močno odvisni od nemotenega delovanja informacijskih sistemov. Prijave ranljivosti v njihovih sistemih so v zadnjih letih pripomogle k izboljšanju varnosti in kontinuitete sistemov, na eni strani z odpravo ranljivosti, na drugi pa s prispevanjem k splošni ozaveščenosti nizozemskih podjetij o varnosti IT.

V zadnjih letih je postalo jasno, da so prijavitelji pripravljeni delovati znotraj pogojev politike CVD, ki so jo pripravile organizacije. Prijavitelji prijave podajajo neposredno ali posredno organizacijam. Praksa odgovornega razkrivanja je pokazala, da so dobronamerni prijavitelji in ranljive organizacije uspeli sodelovati in tako storili naslednji korak k večji varnosti omrežnih in informacijskih sistemov.

Za to revizijo smo se znova pogovarjali s široko in raznoliko skupino prijaviteljev, zasebnih in javnih subjektov ter Javnim tožilstvom in Nacionalno policijo. Ti pogovori so potrdili sedanjo prakso in privedli do dopolnitev in izboljšav. Najpomembnejša nova točka pozornosti je komunikacija med prijaviteljem ranljivosti in organizacijo ter z drugimi stranmi po odpravi ranljivosti.

V naslednjih poglavjih so obravnavani opredelitev CVD, gradniki politike CVD in komunikacijski proces.

Opomba: Prejšnje Smernice so uporabljale izraz »odgovorno razkrivanje«, ki je bil takrat običajen izraz za to prakso. Medtem je postalo jasno, da ta izraz preveč poudarja odgovornost prijavitelja, medtem ko je osnovno načelo, da bi morala biti prijavitelj in potencialno ranljiva organizacija enakovredna partnerja v dialogu. To čustvo bolje zajema sedaj običajno uporabljen izraz »koordinirano razkrivanje ranljivosti« (CVD), ki je tudi ime, uporabljeno v standardih ISO 29147 in 30111 o tem procesu.

2. Koordinirana ranljivost

V zadnjih 30 letih so se uporabljale različne metode za ozaveščanje o ranljivostih v informacijskih sistemih. Primeri vključujejo:

• »Polno razkritje« (Full Disclosure), pri katerem se ranljivost popolnoma javno objavi;

• »Nerazkritje« (Non-disclosure), pri katerem ranljivost prodate ali uporabite sami;

• »Koordinirano razkrivanje ranljivosti« (CVD), koordinirano razkritje ranljivosti.

Slednja praksa je izrecno prednostna.

Skupnost IT je pokazala veliko pripravljenost za izmenjavo znanja in izkušenj. Iskanje sodelovanja s to skupnostjo lahko zato pomaga izboljšati splošno varnost sistemov.

Cilj koordiniranega razkrivanja ranljivosti

Cilj CVD je prispevati k varnosti informacijskih sistemov z izmenjavo znanja o ranljivostih. Pri CVD se znanje deli z eno ali več potencialno ranljivimi organizacijami, da bi v sodelovanju s prijaviteljem prišli do skupne rešitve za najdeno ranljivost. Pomembno je, da imajo prizadete organizacije dovolj časa za odpravo morebitnih ranljivosti ali zaščito sistemov, da se izguba ali škoda čim bolj omeji ali prepreči. Temelj procesa je razkritje znanja o ranljivostih po odpravi.

Pri CVD je bistveno, da vse strani spoštujejo dogovore o tem, kako prijaviti ranljivost in kako z njo ravnati. Pomaga, če organizacija vnaprej objavi pogoje, na primer kateri sistemi so v obsegu in kakšne vrste raziskav je dovoljeno izvajati. Pomembno načelo teh pogojev je, da organizacija prijavitelja načeloma ne bo prijavila ali sprožila drugih pravnih korakov, če se raziskava in prijava izvedeta znotraj določenih pogojev. Te Smernice organizacijam nudijo napotke pri pripravi lastne politike, ki uteleša načela CVD.

Kot nakazuje ime, je za CVD osrednje, da se organizacija in prijavitelj med seboj usklajujeta. V tem pogledu naj bo med osebo, ki prijavlja ranljivost, in osebo znotraj organizacije, ki je odgovorna za rešitev težave, čim manj členov.

Morda je pomembno hkrati obvestiti več strani, če ranljivost vpliva na številne sisteme. V tem primeru lahko NCSC ali druge strani znotraj varnostne skupnosti podprejo proces CVD v koordinacijski vlogi.

3. Področja odgovornosti

Cilj izvajanja politike CVD je, da prijavitelji in organizacija sodelujejo pri zmanjševanju ranljivosti v informacijskih sistemih. Izvajanje te politike je treba obravnavati kot dopolnilo obstoječim ukrepom za informacijsko varnost. Različni akterji imajo vsak svojo vlogo in odgovornosti. Te so podrobneje pojasnjene spodaj.

Organizacija, ki ima/upravlja sistem

Organizacija, ki ima/upravlja ali dobavlja sistem, je primarno odgovorna za varnost tega sistema. Z drugimi besedami, organizacija je odgovorna tudi za nadaljnje ukrepanje ob prijavi ranljivosti.

Organizacija se lahko odloči, da pripravi lastno politiko CVD na podlagi teh Smernic in jo sporoči potencialnim prijaviteljem. Z objavo politike CVD organizacije pokažejo pripravljenost za prejemanje informacij o ranljivostih.

Stran, ki vzpostavi politiko CVD, se lahko zaveže načelu, da ne bo vložila prijave na policijo, če se spoštujejo pravila, ki veljajo za politiko.

Ko prijavitelj prijavi ranljivost, odgovornost preide na organizacijo. Pomembno se je zavedati, da je prijavitelj pogosto nekdo zunaj organizacije. Ta stran nima neposrednega vpogleda v notranje procese, ki se lahko sprožijo po prijavi ranljivosti. Zato bodo prijavitelji cenili, če bodo obveščeni o dogajanju pri reševanju ranljivosti. Ta stalna komunikacija je pomembna tudi zato, da se ustvarijo prava pričakovanja glede nadaljnjega ukrepanja in pravočasnosti rešitve.

Stran, ki prijavlja ranljivost

Prijavitelj je na takšen ali drugačen način lahko ugotovil ranljivost in želi prispevati k varnosti informacijskih sistemov tako, da se ta ranljivost odpravi in morda pozneje objavi. Prijavitelj je morda nekaj odkril s pasivnim opazovanjem ali z aktivnim testiranjem informacijskega sistema. Seveda je ta stran odgovorna za lastna dejanja in način, na katerega je odkrila ranljivost. Prijavitelj je sam odgovoren, da se seznani s pogoji, ki jih je organizacija določila v svoji politiki CVD. Večina vlad in podjetij je svoje politike CVD objavila na svojih spletnih straneh.

Iskanje ranljivosti lahko vseeno vključuje kršenje zakona. V okviru CVD se lahko organizacija in prijavitelj dogovorita, da za morebitna kazniva dejanja ne bosta vložila prijave. V zvezi s tem je vodilno načelo politika CVD, ki jo objavi organizacija. Strani se lahko dogovorita tudi, da ne bo sprožen noben civilni postopek.

Če obstaja sum, da je prijavitelj kršil zakon, lahko politika CVD predvsem pomaga preprečiti, da bi bil prijavitelj prijavljen organom. Ta postopek je v celoti odvisen od pogojev politike, ki jih organizacija zahteva od prijavitelja, in od tega, ali je bilo to upoštevanje doseženo, morebiti z ustrezno obljubo, da ne bo vložena kazenska ovadba, dokler stran deluje znotraj pogojev politike. Če je podana policijska prijava, sta obstoj politike CVD in njeno upoštevanje na Nizozemskem pomembna okoliščina, ki jo bo državni tožilec upošteval pri odločanju o začetku kazenske preiskave in/ali pregona. Načeloma policija in Javno tožilstvo (OM) ne bosta začela kazenske preiskave, če je prijavitelj jasno upošteval pravila politike CVD zadevne organizacije. Vendar lahko Javno tožilstvo in policija primer podrobneje preiščeta, če obstajajo znaki, da je prijavitelj zavestno ali nezavestno šel predaleč pri svojih dejanjih in/ali ni upošteval politike CVD. Na podlagi te preiskave lahko Javno tožilstvo odloči, ali bo sprožilo pregon.

Javno tožilstvo je objavilo okrožnico o politiki, v kateri podrobneje obravnava vidike, ki so pomembni pri odločanju o preiskavi in/ali pregonu. Na primer, ali so dejanja prijavitelja služila pomembnemu javnemu interesu, ali je stran ravnala nesorazmerno in ali bi lahko stran morda ravnala na drugačen, manj drastičen način. Zadevna okrožnica te vidike podrobneje razčlenjuje.2 Ustrezna sodna praksa od leta 20133 kaže, da se ti vidiki upoštevajo tudi na sodišču, če organizacija nima politike CVD.

4. Gradniki procesa koordiniranega razkrivanja ranljivosti

Spodaj so navedeni gradniki za oblikovanje procesa CVD za organizacijo, prijavitelja in NCSC.

Organizacija

Spodbujanje CVD se začne z organizacijo, ki ima informacijske sisteme ali dobavlja informacijski izdelek/sistem. Konec koncev je ta organizacija primarno odgovorna za informacijsko varnost teh informacijskih sistemov. Da bi učinkovito sodelovala z različnimi stranmi pri reševanju ranljivosti, se organizacija lahko odloči, da pripravi in objavi politiko CVD. Priprava lastne politike CVD organizaciji omogoča, da pokaže, kako ravna s prijavami ranljivosti. Tako lahko organizacija tudi oblikuje način, na katerega želi prejemati obvestila. Tak proces je mogoče organizirati takole:

• Organizacija vzpostavi in objavi politiko CVD.

• V tej politiki organizacija poda jasna pravila za raziskave, ki jih lahko izvajajo prijavitelji, na primer katere tehnike so dovoljene in kateri sistemi so v obsegu ali izven njega.

• Organizacija prijavitelju olajša podajo prijave. Ena od možnosti je uporaba standardizirane metode prijave; na primer določen e-poštni naslov ali spletni obrazec. Poleg tega se lahko organizacija odloči, ali bo sprejemala anonimne prijave.

• Organizacija rezervira notranje zmogljivosti in vzpostavi proces za ustrezen odziv na prijave. Priporočljivo je vzpostaviti proces, s katerim je mogoče ustrezno odpraviti vse najdene ranljivosti. V zvezi s tem izvor prijave ni pomemben. Ranljivost je morda ugotovil tudi notranji zaposleni ali na primer med testom.

• Praktične izkušnje kažejo, da bo po začetni objavi politike CVD večje zanimanje za prijavo ranljivosti organizaciji. Organizacija naj to upošteva pri načrtovanju (dodatnih) zmogljivosti.

• Ko organizacija prejme prijavo ranljivosti, zagotovi, da prijava čim prej doseže oddelek, ki je najbolj primeren za oceno in obravnavo prijave.

• Organizacija prijavitelju pošlje potrdilo o prejemu prijave, po možnosti digitalno podpisano, da poudari prednost.

• Nato bo organizacija s prijaviteljem stopila v posvetovanje, da določi obdobje, v katerem bo prišlo do morebitne objave. To obdobje bo močno odvisno od narave ranljivosti in vrste sistema.

• Kot vodilo se za programske ranljivosti pogosto uporablja obdobje približno 60 dni. Odprava ranljivosti v strojni opremi je težje dosegljiva; lahko se uporabi vodilo 6 mesecev.

• Morda je zaželeno to obdobje s skupnim dogovorom podaljšati ali skrajšati glede na to, koliko ali koliko malo informacijskih sistemov je odvisnih od sistema, za katerega je bila ranljivost prijavljena, ali če je ranljivost lažje ali težje odpraviti.

• Ranljivost se lahko izkaže za težko ali nemogočo za odpravo ali pa so z njeno odpravo lahko povezani visoki stroški. V takih primerih se lahko organizacija dogovori, da ranljivost obravnava kot sprejeto tveganje in je ne odpravi, po možnosti v posvetovanju s prijaviteljem.

• Organizacija bo prijavitelja obveščala o poteku procesa.

• Poleg tega lahko organizacija ponudi, da je prijavitelj javno priznan za objavo ranljivosti. Mogoča je tudi izbira skupnega razkritja navzven.

• Zaželeno je nagraditi prijavitelja za prijavo ranljivosti v sistemih, če je stran upoštevala pravila politike CVD. Višina nagrade je lahko odvisna od kakovosti prijave. Nagrajevanje prijavitelja lahko ustvari boljši odnos med to stranjo in organizacijo ter poveča pripravljenost ljudi za nove prijave v skladu s politiko CVD.

• V posvetovanju s prijaviteljem se lahko organizacija dogovori, da o ranljivosti obvesti širšo skupnost IT, če je verjetno, da je ranljivost prisotna tudi drugje.

• V svoji politiki CVD se lahko organizacija zaveže načelu, da ne bo vložila prijave na policijo, če je prijavitelj upošteval pravila, opisana v politiki.

Prijavitelj

Prijavitelj je ključ do uspešnega procesa CVD. Ta stran je na takšen ali drugačen način lahko ugotovila ranljivost in želi prispevati k varnosti informacijskih sistemov tako, da organizacija to ranljivost odpravi in jo objavi. Pri tem prijavitelji priznavajo, da lahko z razkrivanjem ranljivosti na koordiniran način pomembno prispevajo družbi. Za uspešen proces CVD so za prijavitelja pomembni naslednji gradniki:

• Prijavitelj je odgovoren za svoja dejanja in mora pri raziskovanju in prijavljanju ranljivosti upoštevati načeli sorazmernosti in subsidiarnosti. Z drugimi besedami, prijavitelj ne bi smel storiti več, kot je potrebno za dokaz ranljivosti, in mora ranljivost vedno najprej prijaviti lastniku sistema/informacij.

• Prijavitelj mora težavo prijaviti čim prej, da prepreči zlonamernim stranem, da bi ranljivost odkrile in jo izkoristile.

• Prijavitelj mora prijavo organizaciji podati zaupno, da drugim prepreči dostop do teh informacij.

• Prijavitelj ne sme podaje prijave ali nadaljnjega posredovanja informacij pogojevati z nagrado. Pobuda za podelitev nagrade ob prijavi je na strani prejemajoče organizacije, ki lahko pogoje opiše v svoji objavljeni politiki.

• Prijavitelj in organizacija se jasno dogovorita o razkritju ranljivosti. Če je vpletena več kot ena organizacija, je osnovno načelo, da se ranljivosti lahko objavijo le, če se s tem strinjajo vse organizacije. Priporočljivo je, da se ti dogovori sklenejo v zgodnji fazi.

• Prijavitelj in vpletena organizacija se lahko dogovorita o obveščanju širše skupnosti IT. Ta situacija se lahko na primer nanaša na ranljivost (ne glede na to, ali je že znana), za katero je znano, da je prisotna na več lokacijah. Nacionalni center za kibernetsko varnost (NCSC) je lahko vključen v ta proces, da podpre ciljne skupine centralne vlade in kritične infrastrukture ali da obvesti več strani v primeru ranljivosti, ki vpliva na številne sisteme.

NCSC

Proces CVD je v prvi vrsti zadeva organizacij in prijaviteljev. Kljub temu bo NCSC spodbujal uporabo procesa CVD. V posvetovanju s prijaviteljem in organizacijo je NCSC lahko vključen tudi v izmenjavo informacij o ranljivosti s svojo ciljno skupino, da se omejijo nadaljnja varnostna tveganja, ki izhajajo iz ranljivosti.

Če prijava ranljivosti ne poteka tako, kot prijavitelj pričakuje, ali če ranljivosti ne želi prijaviti neposredno organizaciji, se lahko obrne na NCSC.4 V tem primeru lahko NCSC po potrebi deluje kot posrednik.

Lastnik informacijskega sistema je vedno odgovoren za varnost sistema. NCSC ne more prisiliti lastnika sistema k odpravi ranljivosti, prav tako ne more zagotoviti, da lastnik zoper prijavitelja ne bo sprožil pravnih postopkov. Zato mora prijavitelj pri iskanju in prijavljanju ranljivosti upoštevati zgoraj navedene gradnike za organizacije in prijavitelje. Prijavitelj lahko pričakuje, da bo NCSC storil vse, da se ranljivost odpravi in da prijavo obravnava zaupno. NCSC ne deli nobenih osebnih podatkov, razen če je to po zakonu obvezno.

Če je mogoče, bo NCSC informacije o ranljivostih, pridobljene v posvetovanju z organizacijami in prijavitelji, uporabil za nadaljnjo izmenjavo znanja s skupnostjo IT. To lahko stori na primer z objavo dela informacij, pisanjem ali posodobitvijo informativnega lista ali bele knjige ali z obveščanjem določenih organizacij.

• Glede na zadevno organizacijo in naravo ugotovljene ranljivosti si bo NCSC prizadeval, da ranljivost opozori zadevno organizacijo. Vendar lastnik zadevnega informacijskega sistema ostaja odgovoren za sistem.

• Kjer je mogoče in potrebno, bo NCSC zadevni organizaciji svetoval, kako odpraviti ranljivost.

• NCSC bo prijave obravnaval zaupno in osebnih podatkov prijaviteljev ali prejemajoče organizacije ne bo delil brez soglasja, razen če to izhaja iz zakonske obveznosti.

• Kjer je mogoče, bo NCSC prijavitelja obveščal o razvoju stikov z organizacijo in odpravi ranljivosti.

• V primerih, ko je prijava podana NCSC, bo NCSC poskušal vzpostaviti stik med prijaviteljem ali potencialnim prijaviteljem in organizacijo.

Če je prijavitelj na primer našel ranljivost v programskem izdelku ali ranljivost, ki vpliva na številne različne sisteme, lahko prijavitelj NCSC prosi za koordinacijo odprave in razkritja ranljivosti.

Skupaj s prijaviteljem, partnerji, razvijalci in/ali razvijalci programske opreme ter drugimi varnostnimi ekipami bo NCSC pomagal pri analizi, odpravi ali organizaciji odprave, koordinaciji in nadzorovanem razkritju ranljivosti. Ves ta proces poteka v tesnem posvetovanju s prijaviteljem, ki je ranljivost našel.

Politika CVD poskuša najti ravnovesje med pomenom čim hitrejšega razkritja ranljivosti, da se lahko sprejmejo ukrepi, in pomenom, da imajo razvijalci in dobavitelji dovolj časa za odpravo ranljivosti. Za ta proces NCSC uporablja standardni rok 60 dni med prijavo in javnim razkritjem. Vendar lahko nastopijo okoliščine, v katerih se lahko odloči, da se to obdobje podaljša ali skrajša.

NCSC bo informacije o ranljivosti tretjim stranem delil le po posvetovanju s prijaviteljem. V tem okviru je bistveno, da NCSC sodeluje in zato informacije o ranljivosti deli z deležniki, da se ranljivost razkrije na koordiniran način. NCSC bo pri tem zagotovil, da lahko prave strani delajo na odpravi ranljivosti, pomagal omejiti morebitno izgubo ali škodo ter pomagal opozoriti na najdeno ranljivost.

5. Komunikacija in proces razkritja

Pet let prakse je pokazalo, da je jasna komunikacija temelj uspešnega procesa CVD. Obstajajo točke pozornosti pred procesom CVD, med njim in po njem.

Komunikacija o procesu razkritja

Objava politike CVD je prvi korak pri komunikaciji o procesu. Z javno objavo politike so prijavitelji povabljeni, da organizacijo obvestijo o najdenih ranljivostih.

Po eni strani lahko organizacija pripravi pogoje za raziskave, ki se izvajajo za odkrivanje ranljivosti, in za način vzpostavitve stika. Po drugi strani se lahko organizacija zaveže načelu, da ne bo vložila prijave na policijo, če se spoštujejo pravila politike. Ta pristop ščiti položaj prijavitelja.

Politika CVD se lahko pozneje spremeni ali posodobi. Pomembno je, da so spremembe v zvezi s tem jasne. Prijavitelji imajo interes vedeti, kaj je bilo spremenjeno in kdaj. Spremembe je mogoče na primer pojasniti z navedbo datuma objave na začetku politike CVD, z opisom povzetka sprememb pod politiko CVD ali z vzdrževanjem arhiva starih različic politike CVD.

Politika CVD lahko podaja smernice o tem, kako komunicirati med procesom, na primer z navedbo rednih posodobitev po e-pošti ali prek spletnega portala. Poleg tega lahko politika CVD opiše, kako se prijavitelju lahko izkaže priznanje, z omembo ob posodobitvi, sprejemom v hram slavnih (hall of fame) ali kakršno koli drugo obliko nagrade.

Komunikacija med procesom razkritja

Prijavitelj sproži proces CVD s pošiljanjem sporočila organizaciji. V tem sporočilu prijavitelj poda jasen opis odkrite ranljivosti. Pomembni elementi so naslov IP ali URL prizadetega sistema in potrebni koraki za ponovitev ranljivosti.

Za organizacijo je pomembno, da prijavitelju jasno komunicira, tako da so pričakovanja glede procesa jasna.

To lahko stori že s pošiljanjem potrdila o prejemu (samodejnega ali drugačnega), ki vsebuje navedbo roka, v katerem bo poslan začetni ali nadaljnji vsebinski odgovor.

To obdobje je mogoče tudi pustiti odprto in dati začetno navedbo roka po oceni vsebine prijave. Priporočljivo je čim prej jasno povedati, v katerem obdobju je mogoče doseči rešitev. Tako prijavitelj ve, kdaj lahko pričakuje izid.

V nekaterih primerih je morda prijavitelju datum objave že jasen; na primer zaradi predstavitve na konferenci ali ker je prijavitelj določil lasten rok. V tem primeru je še vedno pomembno, da prijavitelj ta časovni načrt jasno sporoči, to stori čim zgodneje in je jasen glede možnosti/nemožnosti preložitve tega datuma.

Prijavitelj je pogosto nekdo zunaj organizacije, ki nima vpogleda v notranje procese, ki jih lahko sproži prijava. Organizacije lahko prijavitelja o razvoju procesa obveščajo z rednimi posodobitvami. Ta pristop prijavitelju pojasni, da se dela na rešitvi. Po potrebi lahko organizacija med procesom zahteva pojasnila ali preskus rešitve.

Če organizacija ne more izpolniti začetnega roka za rešitev, se je mogoče s prijaviteljem dogovoriti za preložitev. Redna komunikacija lahko prijavitelju to situacijo pojasni prej.

Glavni namen CVD je omiliti ranljivost, vendar je »polno razkritje« ranljivosti vedno možnost za prijavitelja, če meni, da bo proces trajal predolgo. Ta ukrep je pregovorna »velika palica«, ki je na voljo prijavitelju. Seveda je treba to situacijo čim bolj preprečiti.

Komunikacija po procesu razkritja

Obstaja veliko možnih razlogov, zakaj prijavitelj išče ranljivosti in jih nato prek procesa CVD prijavi organizacijam. Za veliko prijaviteljev je pomembna spodbuda (javno) priznanje.

Prijavitelji prejmejo javno priznanje z zahvalo v posodobitvi ali vpisom v hram slavnih. Vendar potreba po javnem priznanju ne velja za vse prijavitelje; nekateri v resnici ne želijo biti znani javnosti. Pri komunikaciji organizacije je zato priporočljivo pridobiti soglasje prijavitelja za njegovo imenovanje.

Poleg tega se lahko prijavitelji po zaključku procesa CVD odločijo tudi komunicirati o prijavi. Prijavitelj lahko na primer opiše proces odkritja ali opozori druge na ranljivost. Prijavitelj se lahko odloči, da objavo organizaciji predloži v vednost. Ker je proces CVD načeloma zaključen po odpravi ranljivosti, je prijavitelj nato prost o tem komunicirati, razen če so v politiki ali med procesom sklenjeni dodatni dogovori.

Seznam

Komunikacija o procesu razkritja

• Objava politike CVD na spletnem mestu

• Jasnost glede omejitev (za različne pristope glej poglavje 6)

• Omejitve pri raziskovalnih metodah

• Smernice o komunikaciji

• Smernice o morebitnih nagradah: hram slavnih, finančna nagrada, majica ipd.

• Jasnost glede morebitnih posodobitev politike CVD, vključno z datumom sprememb

Komunikacija med procesom razkritja

• Prijavitelj kontaktira organizacijo glede odkrite ranljivosti.

• Organizacija upravlja pričakovanja, na primer odzivni čas za prvi tehnični odgovor

• Organizacija in prijavitelj drug drugemu pojasnita pričakovano obdobje rešitve

• Organizacija redno poda (procesno) posodobitev

• Po potrebi prijavitelj in organizacija razpravljata o stiku z drugimi ustreznimi organizacijami

Komunikacija po procesu razkritja

• Razprava o (javnem) priznanju in nagradi prijavitelja

• Ureditev, kako bodo informacije o ranljivosti objavljene, na primer faza raziskave ali obveščanje drugih organizacij

6. Primeri politike koordiniranega razkrivanja ranljivosti

Obstaja veliko različnih oblik besedil politik o koordiniranem razkrivanju ranljivosti. Ker objavljena politika CVD deluje kot kažipot potencialnim prijaviteljem, poskrbite, da je oblika te politike v skladu s politiko in strategijo organizacije.

Naslednji elementi so pomembni v politiki CVD:

• kontaktna metoda za varno komunikacijo;

• pogoji za prijavitelje;

• jasna pričakovanja glede obravnave prijave;

• metoda nagrajevanja prijave;

• številka različice in datum zadnje revizije.

Spodaj so trije primeri: Številne organizacije na Nizozemskem so črpale iz osnovnega primera ResponsibleDisclosure.nl. Druge organizacije vključujejo dodatne pogoje, glej politiko Fox IT. Spet druge uporabljajo bolj prost format, da se prilagodijo svoji ciljni skupini, glej politiko Bits of Freedom.

Primer: ResponsibleDisclosure.nl

To besedilo je napisala Floor Terra in je objavljeno z licenco Creative Commons Attribution 3.0 Unported.

V družbi Acme Corporation varnost svojih sistemov štejemo za najvišjo prednostno nalogo. A ne glede na to, koliko truda vložimo v varnost sistemov, ranljivosti še vedno lahko obstajajo.

Če odkrijete ranljivost, bi želeli to izvedeti, da lahko čim prej ukrepamo.

Prosimo vas, da nam pomagate bolje zaščititi naše stranke in sisteme.

Prosimo, storite naslednje:

• Svoje ugotovitve pošljite po e-pošti na cert@example.com. Ugotovitve šifrirajte z našim ključem PGP, da te kritične informacije ne bi prišle v napačne roke,

• Odkrite ranljivosti ali težave ne izkoriščajte, na primer s prenosom več podatkov, kot je potrebno za dokaz ranljivosti, ali z brisanjem ali spreminjanjem podatkov drugih ljudi,

• Težave ne razkrivajte drugim, dokler ni rešena,

• Ne uporabljajte napadov na fizično varnost, socialnega inženiringa, porazdeljene zavrnitve storitve, nezaželene pošte ali aplikacij tretjih oseb in

• Navedite dovolj informacij za ponovitev težave, da jo bomo lahko rešili čim hitreje. Običajno zadostujeta naslov IP ali URL prizadetega sistema in opis ranljivosti, pri zapletenih ranljivostih pa so lahko potrebna dodatna pojasnila.

Kaj obljubljamo:

• Na vaše poročilo bomo odgovorili v 3 delovnih dneh s svojo oceno poročila in pričakovanim datumom rešitve,

• Če ste upoštevali zgornja navodila, zoper vas v zvezi s poročilom ne bomo sprožili nobenih pravnih postopkov,

• Vaše poročilo bomo obravnavali strogo zaupno in vaših osebnih podatkov ne bomo posredovali tretjim osebam brez vašega dovoljenja,

• O napredku pri reševanju težave vas bomo sproti obveščali,

• V javnih informacijah o prijavljeni težavi bomo navedli vaše ime kot odkritelja težave (razen če želite drugače) in

• V znak hvaležnosti za vašo pomoč ponujamo nagrado za vsako poročilo o varnostni težavi, ki nam še ni bila znana. Višina nagrade bo odvisna od resnosti uhajanja in kakovosti poročila. Najnižja nagrada bo darilni bon v vrednosti 50 €.

Prizadevamo si, da vse težave rešimo čim hitreje, in želimo imeti aktivno vlogo pri končni objavi o težavi po njeni rešitvi.

Primer: Fox-IT

V družbi Fox-IT varnost svojih sistemov, omrežja in izdelkov štejemo za izjemno pomembno. Kljub veliki skrbnosti, ki jo namenjamo varnosti, lahko še vedno ostanejo šibke točke. Če ste našli takšno slabost, bi želeli to izvedeti čim prej, da lahko čim hitreje sprejmemo ustrezne ukrepe.

Šibke točke je mogoče odkriti na dva načina: lahko slučajno naletite nanje med običajno uporabo digitalnega okolja ali pa se izrecno trudite, da jih najdete.

Naša politika odgovornega razkrivanja ni vabilo k aktivnemu skeniranju našega poslovnega omrežja za odkrivanje šibkih točk. Svoje poslovno omrežje nadzorujemo sami. To pomeni, da obstaja velika verjetnost, da bo skeniranje zaznano in da bo naš Security Operation Center (SOC) opravil preiskavo, kar bi lahko povzročilo nepotrebne stroške. Vabimo vas pa, da aktivno iščete ranljivosti v naših izdelkih v izvenmrežnem neprodukcijskem okolju in nam svoje ugotovitve sporočite. Naša odgovornost do strank pomeni, da nimamo namena spodbujati poskusov vdora v njihovo infrastrukturo; vendar bi želeli od vas slišati čim prej, če so ranljivosti najdene, da jih lahko ustrezno rešimo.

Radi bi sodelovali z vami, da bi lahko bolje zaščitili svoje stranke in sisteme.

Prosimo vas, da:

• Svoje ugotovitve čim prej pošljete po e-pošti na security-alert@fox-it.com.

• Ranljivosti ne zlorabljate; na primer s prenosom, urejanjem ali brisanjem podatkov. Vaše poročilo bomo vedno vzeli resno in preiskali vsak sum ranljivosti, tudi brez dokaza.

• Težave ne delite z drugimi, dokler ni rešena.

• Ne uporabljate napadov na fizično varnost, socialnega inženiringa ali orodij za vdore, kot so skenerji ranljivosti.

• Navedete dovolj informacij za ponovitev težave, da jo bomo lahko rešili čim hitreje. Običajno zadostujeta naslov IP ali URL prizadetega sistema in opis ranljivosti, čeprav so pri bolj zapletenih ranljivostih lahko potrebne dodatne informacije.

Kaj obljubljamo:

• Na vaše poročilo bomo odgovorili v treh delovnih dneh s svojo oceno poročila in pričakovanim datumom rešitve.

• Vaše poročilo bomo obravnavali zaupno in vaših osebnih podatkov ne bomo delili s tretjimi osebami brez vašega dovoljenja. Izjema sta policija in sodstvo v primeru pregona ali če se informacije zahtevajo.

• O napredku pri reševanju težave vas bomo sproti obveščali.

• V komunikaciji o prijavljeni težavi bomo, če želite, navedli vaše ime kot stranko, ki je težavo odkrila.

• Žal ni mogoče vnaprej zagotoviti, da zoper vas ne bodo sprožena nobena pravna dejanja. Upamo, da bomo lahko vsako situacijo obravnavali posamično. Menimo, da smo moralno dolžni prijaviti vas, če sumimo, da se šibka točka ali podatki zlorabljajo, ali da ste védenje o šibki točki delili z drugimi. Lahko ste prepričani, da naključno odkritje v našem spletnem okolju ne bo privedlo do pregona.

• V zahvalo za vašo pomoč ponujamo nagrado za vsako poročilo o varnostni težavi, ki nam ni znana. Vrednost nagrade določimo na podlagi resnosti kršitve in kakovosti poročila.

Prizadevamo si, da vse težave rešimo čim hitreje, obveščamo vse vpletene strani in želimo sodelovati pri vsaki objavi o težavi, ko je ta rešena.

Primer: Bits of Freedom

Naša odvisnost od digitalne infrastrukture nenehno narašča. To velja za družbo kot celoto, pa tudi za nas same. Zato menimo, da bi se morale vlade in organizacije (vključno z našo) odločno zavezati k varovanju naše digitalne infrastrukture. Zavedamo se, da kljub našim najboljšim namenom in največji skrbnosti v naših sistemih lahko obstajajo ranljivosti. Če naletite na eno od teh slabosti, bi radi slišali od vas, da lahko težavo odpravimo.

Kaj pričakujemo od vas

• Ko raziskujete katerega od naših sistemov, upoštevajte sorazmernost napada. Ni treba dokazovati, da lahko naše spletno mesto, če ga izpostavite največjemu napadu DDoS v zgodovini interneta, postane nedosegljivo. To vemo. Razumemo tudi, da boste, če z buldožerjem zapeljete v našo pisarno, verjetno lahko ugrabili enega od naših prenosnikov.

• To načelo sorazmernosti je pomembno tudi pri dokazovanju same ranljivosti. Ne smete pregledovati ali spreminjati več podatkov, kot je nujno potrebno za potrditev veljavnosti vaše ugotovitve. Če lahko na primer spremenite našo domačo stran, ji dodajte le eno nespodbudno besedo, namesto da prevzamete celotno stran. Če lahko pridobite dostop do podatkovne baze, zadošča, da nam pokažete seznam tabel v njej ali morda prvi zapis v eni od teh tabel.

• Ranljivost v enem od naših sistemov je treba prijaviti čim prej s pošiljanjem e-pošte na security@bof.nl. Sporočilo po možnosti šifrirajte z OpenPGP. Navedite dovolj informacij, da lahko težavo ponovimo in raziščemo.

• Javni ključ OpenPGP za security@bof.nl

• Svojega védenja o ranljivosti ne boste delili z drugimi, dokler težave nismo rešili in smo še v razumnem časovnem okviru od vaše prijave težave.

• Vse zaupne informacije, ki ste jih pridobili med raziskavo, boste izbrisali takoj, ko ranljivost odpravimo.

Kaj lahko pričakujete od nas

• Na vaše poročilo bomo podrobno odgovorili v treh dneh. Vključili bomo oceno časa, ki ga bomo potrebovali za rešitev težave. Seveda vas bomo redno obveščali o našem napredku.

• Ranljivost bomo odpravili čim prej. Tudi tu je pomembna sorazmernost: čas, potreben za odpravo ranljivosti, je odvisen od več dejavnikov, med drugim od resnosti in zapletenosti obravnavane težave.

• Če boste upoštevali tukaj navedene smernice, zoper vas v zvezi z vašim poročilom ne bomo sprožili pravnih postopkov.

• Pomembno nam je, da vam priznamo zasluge za to, kar ste storili – če to želite. Vaše ime bomo v objavi o ranljivosti navedli le, če se s tem strinjate.

• V zahvalo za pomoč pri boljši zaščiti naših sistemov bi radi nagradili vsako poročilo o ranljivosti, ki nam je bila takrat neznana. Nagrada bo odvisna od resnosti ranljivosti in kakovosti poročila.

Če najdete ranljivost v programski opremi tretje osebe, ki jo uporabljamo, in je ta ranljivost zajeta v programu nagrad za napake (bug bounty), te nagrade ne bomo poskušali zahtevati; to morate storiti vi.