Coordinated vulnerability disclosure

Ufichuaji ulioratibiwa wa udhaifu (CVD)

Jinsi ya kuripoti, kupokea, na kuratibu udhaifu wa usalama, pamoja na mifano ya sera.

Ufichuaji ulioratibiwa wa udhaifu (Coordinated vulnerability disclosure, CVD) ni istilahi ya usalama wa kompyuta. Inaeleza jinsi watu wanavyoweza kushiriki ripoti kuhusu masuala ya usalama. Mifano ni ripoti za hitilafu, hatari za uvamizi, maonyo ya udukuzi, uvujaji wa data, uvunjaji wa tovuti, n.k.

Tafsiri: العربية, Български, বাংলা, Čeština, Cymraeg, Dansk, Deutsch, Ελληνικά, English, Español, Eesti, Euskara, فارسی, Suomi, Français, Gaeilge, Gàidhlig, ગુજરાતી, Hausa, עברית, हिन्दी, Hrvatski, Magyar, Bahasa Indonesia, Íslenska, Italiano, 日本語, 한국어, Lietuvių, Latviešu, Nederlands, Polski, Português, Română, Русский, Slovenčina, Slovenščina, Svenska, Kiswahili, ไทย, Türkçe, Українська, اردو, Tiếng Việt, 中文

Yaliyomo:

Sera:

Utangulizi

Hati hii inaeleza ufichuaji ulioratibiwa wa udhaifu kwa njia ambazo zinaweza kusaidia watu kufanya kazi pamoja.

Malengo ya hati:

  1. Kusaidia watu wanaogundua masuala ya usalama na wanaotaka kuyaripoti.

  2. Kusaidia wawakilishi wa kampuni kuelewa mahitaji, malengo, mazoea na hali maalum za ufichuaji wa kuwajibika.

  3. Kujumuisha mifano ya sera za ufichuaji ulioratibiwa wa udhaifu katika folda ya hazina.

Tunakaribisha maombi ya kuvuta (pull requests), au masuala ya GitHub, au barua pepe kwa security@joelparkerhenderson.com.

Ufichuaji ulioratibiwa wa udhaifu ni nini?

Ufichuaji ulioratibiwa wa udhaifu unaeleza hatua tatu pale mtu anapogundua suala la usalama (kama vile hitilafu ya programu) na anataka kulijulisha kwa mtengenezaji (kama vile kampuni inayotengeneza programu hiyo).

Hatua:

  1. Mgunduzi anaripoti suala hilo kwa mtengenezaji kwa faragha na kwa nia njema.

  2. Mtengenezaji anajaribu kuwalinda watumiaji kwa nia njema na anajaribu kulishughulikia suala hilo.

  3. Baada ya muda uliokubaliwa, suala la usalama linatangazwa hadharani.

Hatua ya 1: Ripoti tatizo

Hatua ya 1 ni kwa mgunduzi: ripoti tatizo kwa faragha na kwa nia njema.

  • Vizuri: Mgunduzi anatuma taarifa husika kwa mtengenezaji, kama vile kwa barua pepe kwenda anwani ya barua pepe ya usalama ya mtengenezaji (kwa kawaida "security@example.com") au kupitia fomu ya ukurasa wa wavuti kwenye tovuti ya mtengenezaji (kwa kawaida "https://www.example.com/security").

  • Vibaya: kuchapisha ripoti kwenye blogu ya umma, au kuarifu vyombo vya habari, au vitisho, au majaribio ya kuuza suala la usalama kwa wadukuzi, n.k.

  • Kidokezo: mgunduzi anaweza kuchagua kubaki bila kutajwa jina; mtengenezaji naye anaweza kuchagua kubaki bila kutajwa jina.

Ukitaka, endelea kulifuatilia suala hilo.

  • Vizuri: kufungua njia za mawasiliano, au kutoa taarifa za ufuatiliaji, au kufuatilia hali ilivyo.

  • Vibaya: kulisahau suala hilo.

  • Kidokezo: mgunduzi anaweza kuchagua kusaidia au kutosaidia, na pia anaweza kuchagua kuwasiliana au kutowasiliana, na pia anaweza kuchagua kubadilisha mpangilio hali ikibadilika.

Ukitaka, fichua suala hilo kwa wengine.

  • Vizuri: kusubiri muda uliokubaliwa kisha kutangaza hadharani, kama vile kuchapisha taarifa husika kwenye tovuti ya habari za usalama, au kuwasiliana na watafiti wa usalama wa upande wa tatu husika, au kutangaza suala hilo kwenye tovuti yoyote ya kijamii ya umma, n.k.

  • Vibaya: kutolifichua suala hilo kwa wengine, isipokuwa unahisi lingeleta hatari kubwa kuliko inavyolingana kwako mwenyewe au kwa wengine.

  • Kidokezo: hali ikibadilika, kama vile kugundua hatari kubwa zaidi au shambulio linalotumika kikamilifu (active exploit in the wild), mgunduzi anaweza kulifichua suala hilo kwa wengine mapema zaidi.

Hatua ya 2: Hakikisha mawasiliano

Hatua ya 2 ni kwa mtengenezaji: hakikisha mawasiliano yanafanya kazi.

  • Vizuri: Mtengenezaji anachapisha anwani ya barua pepe ya mawasiliano ya usalama (kwa kawaida "security@example.com") na ikiwezekana ufunguo salama wa usimbaji fiche wa barua pepe.

  • Vizuri: Mtengenezaji anachapisha ukurasa wa wavuti wa mawasiliano ya usalama (kwa kawaida "https://www.example.com/security") na ikiwezekana anauwezesha ukurasa huo kupatikana kwa urahisi, kama vile kupitia kijachini cha tovuti, ramani ya tovuti, na utafutaji.

  • Vibaya: Mtengenezaji hatoi anwani ya barua pepe wala ukurasa wa wavuti, au haziwezeshi kupatikana kwa urahisi.

Hakikisha uwezo wa wafanyakazi.

  • Vizuri: Mtengenezaji anawafunza wafanyakazi wa msaada la kufanya wakipokea swali la usalama, kama vile jinsi ya kujibu kwa taarifa za mawasiliano, au jinsi ya kulipeleka swali kwa timu sahihi ya ndani.

  • Vizuri: Mtengenezaji anathibitisha mara kwa mara kwamba uwezo wa wafanyakazi unafanya kazi.

  • Vibaya: Mtengenezaji hafunzi wala hathibitishi.

Mjibu mgunduzi ndani ya ratiba.

  • Mgunduzi asipotaja ratiba, tumia siku moja ya kazi, kwa sababu hiki ni kiwango cha tasnia na utaratibu bora wa sasa wa tasnia.

  • Mgunduzi akiuliza maswali, yajibu. Hili ni muhimu hasa mgunduzi anapoomba ruhusa ya kufanya majaribio. Hakikisha majibu yote ni wazi na ya moja kwa moja.

Mjibu mgunduzi kupitia mwasiliani wa usalama aliyeidhinishwa na/au mchakato wa usalama ulioidhinishwa.

  • Vizuri: jibu kutoka kwa anwani ya barua pepe maalum ya usalama, kama vile "security@example.com".

  • Mfano wa mambo mabaya: jibu kutoka kwa anwani ya barua pepe ya matumizi ya jumla, kama vile "help@example.com", au kutoka kwa mtu yeyote ambaye si mtaalamu wa usalama aliyeidhinishwa.

Mjulishe mgunduzi kwamba suala limetambuliwa kama ripoti ya usalama.

  • Vizuri: maneno maalum ya usalama, kama vile "Timu yetu ya usalama imepokea ripoti yako ya ufichuaji wa kuwajibika", au "Mchakato wetu wa usalama una hatua hizi zinazofuata", au "Taarifa zako sasa ziko kwenye kifuatilizi chetu cha usalama kwa nambari ya utambulisho XYZ", n.k.

  • Vibaya: maneno ya matumizi ya jumla, kama vile "Tunashukuru biashara yako", au "Tunachukulia usalama kwa uzito", maneno ya kutupiana mpira kama vile "Tumetuma barua pepe yako kwa idara nyingine", n.k.

Hatua ya 3: Fanya kazi kwa nia njema

Hatua ya 3 ni kwa mgunduzi na mtengenezaji pamoja: fanyeni kazi kwa nia njema.

Elewa kwamba ufichuaji ulioratibiwa wa udhaifu unaeleza mchakato wa nia njema.

  • Lengo la #1 ni nia njema ya kuwasaidia watumiaji kujilinda dhidi ya hatari za usalama.

  • Lengo la #2 ni nia njema ya kulishughulikia suala la usalama.

  • Mgunduzi na/au mtengenezaji wanaweza kuchagua kwa nia njema kuwahusisha watu wengine wa usalama, kama vile kuwasiliana na watafiti wengine husika wa usalama ili kusaidia kuhusu suala hilo.

Elewa kwamba ufichuaji ulioratibiwa wa udhaifu hauleti wajibu wowote.

  • Mgunduzi na/au mtengenezaji wanaweza kujiondoa wakati wowote, kwa sababu yoyote, kwa onyo au bila onyo. Ni adabu kuwajulisha watu wote husika na kuwapa taarifa za hivi karibuni, lakini hili halifanyiki kila wakati, wala halina vitendo, wala halifai kila wakati.

  • Ufichuaji ulioratibiwa wa udhaifu hauleti makubaliano yoyote ya kisheria. Ikiwa mgunduzi na mtengenezaji tayari wana makubaliano ya kisheria, tunapendekeza kila mhusika awasiliane na mawakili wanaofaa; usitumie hati hii kama ushauri wa kisheria.

Elewa kwamba ufichuaji ulioratibiwa wa udhaifu unalenga kutumia mawasiliano mazuri na unalenga kukataa vitisho.

  • Ufichuaji ulioratibiwa wa udhaifu ni bora zaidi pale kila mhusika anapoelewa kwamba lengo la #1 ni kuwasaidia watumiaji kujilinda dhidi ya hatari za usalama, na lengo la #2 ni kulishughulikia suala la usalama.

  • Ufichuaji ulioratibiwa wa udhaifu unakataa aina yoyote ya kitisho cha kulipiza kisasi, kutisha, kusimamisha, kufuta, kulazimisha kwa vitisho, mzigo wa kufuatilia, au kumlaumu mwathiriwa.

Elewa kwamba ufichuaji ulioratibiwa wa udhaifu unaweza kumaanisha mambo tofauti kwa watu tofauti.

  • Mgunduzi na mtengenezaji wanaweza kuwa na uelewa tofauti wa ufichuaji ulioratibiwa wa udhaifu. Uelewa huu huenda usilingane. Nia njema inajumuisha kila mhusika kuelewa hili.

  • Baadhi ya watengenezaji huchapisha sera za ufichuaji ulioratibiwa wa udhaifu. Hizi zinaweza kuwa mwongozo wenye msaada. Mgunduzi akichagua kutumia aina nyingine ya ufichuaji ulioratibiwa wa udhaifu, au ana uelewa tofauti wa ufichuaji wa kuwajibika, hilo ni sawa kabisa.

Elewa kwamba kwa kawaida mgunduzi anamfanyia mchapishaji wema.

  • Kwa kawaida mgunduzi hahitaji ruhusa ya mtu yeyote kuchapisha udhaifu.

  • Kwa kawaida taarifa za mgunduzi zinamsaidia mchapishaji.

Thibitisha mafanikio

Baada ya tatizo kutatuliwa, mtengenezaji lazima athibitishe mafanikio.

  • Je, watu wote na michakato yote ilishughulikia ufichuaji kwa mafanikio? Ikiwa ndiyo, vizuri. Ikiwa sivyo, basi fikiria kufanya utafiti wa baada ya tukio, kama vile uchambuzi wa chanzo kikuu (RCA), ripoti za baada ya tukio (post-mortem), michoro ya Ishikawa, au uchambuzi wa sababu unaotegemea nadharia ya mifumo (CAST).

  • Je, masuala yoyote yaliyobaki yamepangwa kwa kipaumbele na kufuatiliwa?

  • Je, mtengenezaji na mgunduzi wote wanaelewa la kufanya kwa hatua zozote zinazofuata? Hili ni muhimu hasa kulipata sawa iwapo kunaweza kuwa na ufichuaji mwingine ulioratibiwa wa udhaifu utakaofuata.

Mwongozo

Mwongozo wa ufichuaji ulioratibiwa wa udhaifu unaweza kutoka sehemu nyingi, kama vile wataalamu wa maadili, watetezi wa sheria, matarajio ya busara ya umma kwa jumla, n.k.

Ikiwa unatafuta mwongozo, basi unaweza kupendezwa na maeneo haya matatu, yote yameelezwa hapa chini.

  • Msamaria Mwema

  • Wajibu wa kuokoa

  • Wajibu wa uangalifu

Msamaria Mwema

Wikipedia: Sheria ya Msamaria Mwema

Sheria za Msamaria Mwema hutoa ulinzi wa kisheria kwa watu wanaotoa msaada wa busara kwa wale ambao wamejeruhiwa, wagonjwa, wako hatarini, au vinginevyo hawawezi kujisaidia, au wanaoaminika kuwa hivyo. Ulinzi huu unakusudiwa kupunguza kusita kwa watazamaji kusaidia, kwa kuogopa kushtakiwa au kufunguliwa mashtaka.

Wajibu wa kuokoa

Wikipedia: Wajibu wa kuokoa

Wajibu wa kuokoa ni dhana inayoeleza hali ambapo upande mmoja unaweza kuwajibishwa kwa kushindwa kuuokoa upande mwingine ulio hatarini. Wajibu wa kuokoa unaweza kuwa na maeneo ya kimaadili na/au ya kisheria.

Wajibu wa uangalifu

Wikipedia: Wajibu wa uangalifu

Wajibu wa uangalifu ni wajibu wa kufuata kiwango cha uangalifu wa busara wakati wa kufanya tendo lolote linaloweza kuwadhuru wengine kwa namna inayoweza kutabirika. Wajibu wa uangalifu unaweza kuwa na maeneo ya kimaadili na/au ya kisheria. Baadhi ya vipengele vya kuzingatia ni: uwezekano wa kutabiri madhara au jeraha, ukubwa unaowezekana wa madhara au jeraha linalowezekana, umuhimu au thamani ya kijamii ya shughuli aliyoifanya mshtakiwa, manufaa ya mwenendo huo kwa mshtakiwa, uwezekano wa kutekeleza mwenendo mbadala, gharama na mizigo inayohusiana na mwenendo mbadala, manufaa linganishi ya mwenendo mbadala, na usalama linganishi wa mwenendo mbadala.

Hali maalum

Timu zetu za usalama zimeona aina nyingi za hali maalum.

Tunazieleza hapa ili kuwasaidia watu waelewe mahali ambapo kuna maoni mengi tofauti kuhusu nini kinaweza kukubalika na nini kisikubalike. Tunapendekeza kila mhusika awasiliane kwa nia njema kuhusu haya.

Kufikia taarifa za watumiaji wengine

Mfano: unagundua kwamba URL ina kitambulisho chako cha mtumiaji ndani yake, na inaonyesha hitilafu, na unaamini unaweza kuhariri URL hiyo kubadilisha kitambulisho chako cha mtumiaji kuwa kitambulisho cha mtumiaji mwingine.

  • Je, ni sawa kwa mgunduzi kufanya hivi, kama vile kwa lengo pekee la kugundua kama inaathiri watumiaji wengine pia?

  • Je, ni muhimu zaidi kuelewa haraka upana wa hatari kwa watumiaji wote, kuliko kuwalinda watumiaji wachache ambao taarifa zao huenda tayari zinaonekana kwa wadukuzi?

  • Je, ni sawa kwa mgunduzi kufanya hivi kwa watumiaji wengi kadiri atakavyo?

  • Je, ni sawa kwa mgunduzi kujaribu kuwasiliana na watumiaji ili kuwajulisha kwamba wameathirika? Je, ni sawa kutoa mapendekezo ya kupunguza athari?

Kunyima huduma

Mfano: unagundua hitilafu inayosimamisha akaunti yako kwa bahati mbaya, kama vile kuanzisha kufungwa kwa nenosiri.

  • Je, hili linachukuliwa kuwa shambulio la kunyima huduma?

Barua pepe zisizoombwa

Mfano: unajaribu kuripoti suala la usalama kwa watu katika kampuni unaowadhani wanahusika, na uliowagundua kwa kutafiti kwenye LinkedIn, Facebook, n.k., au kwa kutumia kanuni za majina kama vile "webmaster@example.com" au "security@example.com".

  • Je, hili ni sawa?

  • Je, hili linachukuliwa kuwa barua pepe isiyoombwa (unsolicited email)?

  • Je, hili linachukuliwa kuwa barua pepe isiyoidhinishwa (unauthorized email)?

Makundi yaliyotengwa

Mfano: uko katika kundi lililotengwa, kama vile kuwa mtoto mdogo, au kuwa kwenye orodha ya vikwazo, au kuwa katika nchi iliyo kwenye orodha ya vikwazo.

  • Je, ni sawa kwako kutoa ripoti?

  • Je, ni sawa kuripoti bila kujitambulisha?

  • Je, ni sawa kubadilisha kwa makusudi taarifa zinazoweza kukutambulisha, kama vile ili kuepuka kundi lililotengwa, na kwa lengo la kusaidia ufichuaji ufike kwa watu sahihi?

Mhusika wa tatu

Mfano: unagundua kwamba programu ya kampuni ina hitilafu inayohusisha mhusika wa tatu, kama vile ujumuishaji na programu nyingine au tovuti nyingine.

  • Je, ni sawa kwako kuripoti taarifa zote unazozipata kwa pande zote mbili?

  • Je, ni lazima kufanya ufichuaji wa kuwajibika mara mbili tofauti, kama vile ripoti moja kwa kampuni moja, na ripoti tofauti kwa kampuni ya mhusika wa tatu, kwa lengo la kupunguza taarifa zinazotumwa kwa kila kampuni?

  • Je, ni sawa kwa mgunduzi kuziunganisha kampuni hizo mbili ziwasiliane?

Programu inayoleta usumbufu

Mfano: una ujuzi wa kutosha kuweza kuandika virusi unavyoamini vina uwezekano wa kuwasaidia watumiaji kujilinda dhidi ya hatari ya usalama, au kutambua kama wako hatarini, au kurekebisha hatari ya usalama.

  • Je, ni sawa?

  • Je, ni sawa kwa mgunduzi kuwaelekeza watumiaji kwenye programu ya aina hii, na/au kwenye miongozo au mafunzo yanayoeleza jinsi ya kuunda aina hii ya programu?

Ufichuaji ulioratibiwa wa udhaifu dhidi ya ufichuaji wa kuwajibika

Ufichuaji ulioratibiwa wa udhaifu ndiyo istilahi inayopendelewa.

  • Kipengele muhimu zaidi ni uratibu kati ya mgunduzi na mtengenezaji.

Ufichuaji wa kuwajibika (responsible disclosure) ni istilahi iliyopitwa na wakati.

  • Watu wana mitazamo tofauti ya maana ya kuwajibika. Kwa mfano, baadhi ya watu wanatetea kwamba ni jambo la kuwajibika kwa mgunduzi kuuarifu umma mara moja bila kujali mwingiliano wowote na mtengenezaji, na kwamba si jambo la kuwajibika kufanya ufichuaji ulioratibiwa wa udhaifu kwa sababu unaficha taarifa kutoka kwa umma.

Ufuatiliaji