Coordinated vulnerability disclosure
← Policyer

CERT: Policy för röjande av sårbarheter

Sårbarheter som rapporteras till CERT/CC kommer att röjas för allmänheten 45 dagar efter den första rapporten, oavsett om det finns eller är tillgängligt några korrigeringar eller lösningar från berörda leverantörer. Förmildrande omständigheter, till exempel aktivt utnyttjande, hot av särskilt allvarlig (eller trivial) art eller situationer som kräver ändringar av en etablerad standard, kan leda till tidigare eller senare röjande. Röjanden från CERT/CC kommer att innehålla erkännande av rapportören om inte rapportören begär något annat. Vi kommer att underrätta berörda leverantörer om våra publiceringsplaner och förhandla om alternativa publiceringsscheman med de berörda leverantörerna när det krävs.

Målet med den här policyn är att balansera allmänhetens behov av att få information om säkerhetssårbarheter mot leverantörernas behov av tid för att reagera effektivt. Det slutliga beslutet om publiceringsschema grundas på gemenskapens bästa i stort.

Sårbarheter som rapporteras till oss vidarebefordras till berörda leverantörer så snart det är praktiskt möjligt efter att vi tagit emot rapporten. Rapportörens namn och kontaktuppgifter vidarebefordras till berörda leverantörer om inte rapportören begär något annat. Vi underrättar rapportören om väsentliga ändringar i status för en sårbarhet som hen rapporterat, i den utsträckning det är möjligt utan att avslöja information som vi fått i förtroende.

Sårbarheter kommer att röjas i Vulnerability Notes (sårbarhetsanteckningar).

Sårbarhetsrapporter om amerikanska myndigheters webbplatser vidarebefordras till US-CERT för samordning med myndigheten.

Vanliga frågor

F: Betyder detta att CERT/CC går över till "fullt röjande" (full disclosure)?

S: Vi kommer inte att distribuera exploits, om det är vad "fullt röjande" betyder. Enligt vår erfarenhet är antalet personer som kan dra nytta av att exploits finns tillgängliga litet jämfört med antalet personer som drabbas av dem som använder exploits i illvillig avsikt. Vi kommer dock att röja information om sårbarheter som vi kanske inte tidigare har röjt. Inom ramen för våra resurser kommer vi att publicera information om så många sårbarheter vi kan.

F: Varför inte 30 dagar, eller 15 dagar, eller omedelbart?

S: Vi anser att 45 dagar kan vara en ganska tuff tidsfrist för en stor organisation att klara. Att göra den kortare hjälper inte problemet i praktiken. Om det saknas belägg för utnyttjande är det inte säkert att det ligger i allmänhetens säkerhets bästa intresse att utan skäl tillkännage sårbarheter.

F: Vore det inte bättre att hålla sårbarheter hemliga om det inte finns någon korrigering?

S: Sårbarheter upptäcks och röjs rutinmässigt, ofta innan leverantörerna haft en rimlig möjlighet att tillhandahålla en korrigering, och röjandet innehåller ofta fungerande exploits. Enligt vår erfarenhet, om det inte finns ett ansvarsfullt och kvalificerat röjande av sårbarhetsinformation, känner forskare, programmerare, systemadministratörer och andra it-yrkespersoner som upptäcker sårbarheter ofta att de inte har något val utom att offentliggöra informationen i ett försök att tvinga leverantörerna att åtgärda problemet.

F: Kommer alla sårbarheter att röjas inom 45 dagar?

S: Nej. Det kan ofta finnas omständigheter som får oss att justera vårt publiceringsschema. Hot som är särskilt allvarliga eller för vilka vi har belägg för utnyttjande kommer sannolikt att få oss att korta vårt utgivningsschema. Hot som kräver "hårda" ändringar (ändringar av standarder, ändringar av centrala operativsystemkomponenter) kommer att få oss att förlänga vårt publiceringsschema. Vi publicerar kanske inte alla sårbarheter som rapporteras till oss.

F: Kommer ni att överraska leverantörer med tillkännagivanden av sårbarheter?

S: Nej. Före offentligt röjande gör vi ett uppriktigt försök att informera leverantörerna om våra avsikter.

F: Om en leverantör inte håller med om er bedömning av ett problem, kommer den informationen att finnas tillgänglig?

S: Ja. Vi begär in och publicerar autentiserade uttalanden från leverantörer och hänvisar till relevant leverantörsinformation i sårbarhetsanteckningarna. Vi håller inte inne med information som lämnats av leverantören bara för att den går emot vår bedömning av problemet.

F: Vem får informationen före det offentliga röjandet?

S: I allmänhet ger vi informationen till alla som kan bidra till lösningen och med vilka vi har ett förtroendefullt förhållande, inklusive leverantörer (ofta även leverantörer vars produkter inte är sårbara), experter i gemenskapen, sponsorer och webbplatser som ingår i en nationell kritisk infrastruktur, om vi bedömer att dessa webbplatser är utsatta.

F: Röjer ni varje rapporterad sårbarhet?

S: Nej. Vi kan, efter eget gottfinnande, avstå från att samordna eller publicera en sårbarhetsrapport. Det beslutet grundas i allmänhet på sårbarhetens omfattning och allvarlighetsgrad och på vår förmåga att tillföra värde till samordnings- och röjandeprocessen. Oavsett om vi samordnar eller publicerar rekommenderar vi att rapportören gör ett uppriktigt försök att underrätta och arbeta direkt med den berörda leverantören före det offentliga röjandet.