Coordinated vulnerability disclosure
← Sera

CERT: Sera ya Ufichuaji wa Udhaifu

Udhaifu unaoripotiwa kwa CERT/CC utafichuliwa kwa umma siku 45 baada ya ripoti ya awali, bila kujali kuwepo au upatikanaji wa viraka au njia mbadala kutoka kwa wauzaji walioathirika. Hali za kipekee, kama vile unyonyaji unaoendelea, vitisho vya hali nzito sana (au ndogo sana), au hali zinazohitaji mabadiliko ya kiwango kilichowekwa, zinaweza kusababisha ufichuaji wa mapema au wa baadaye. Ufichuaji unaofanywa na CERT/CC utajumuisha shukrani kwa mwripoti isipokuwa mwripoti ataomba vinginevyo. Tutawajulisha wauzaji wowote walioathirika kuhusu mipango yetu ya uchapishaji na tutajadiliana ratiba mbadala za uchapishaji na wauzaji walioathirika inapohitajika.

Lengo la sera hii ni kusawazisha hitaji la umma kupata taarifa kuhusu udhaifu wa usalama na hitaji la wauzaji la muda wa kujibu kwa ufanisi. Uamuzi wa mwisho wa ratiba ya uchapishaji utategemea maslahi bora ya jamii kwa jumla.

Udhaifu unaoripotiwa kwetu utapelekwa kwa wauzaji walioathirika mapema iwezekanavyo baada ya kupokea ripoti. Jina na taarifa za mawasiliano za mwripoti zitapelekwa kwa wauzaji walioathirika isipokuwa mwripoti ataomba vinginevyo. Tutamjulisha mwripoti mabadiliko makubwa katika hali ya udhaifu wowote aliouripoti kadiri inavyowezekana bila kufichua taarifa tulizopewa kwa siri.

Udhaifu utafichuliwa katika Vulnerability Notes (Maelezo ya Udhaifu).

Ripoti za udhaifu kwa tovuti za Serikali ya Marekani zitapelekwa kwa US-CERT kwa uratibu na serikali.

Maswali yanayoulizwa mara kwa mara

Swali: Je, hii inamaanisha CERT/CC inaelekea kwenye "ufichuaji kamili" (full disclosure)?

Jibu: Hatutasambaza programu za unyonyaji (exploits), ikiwa hiyo ndiyo maana ya "ufichuaji kamili". Kwa uzoefu wetu, idadi ya watu wanaoweza kunufaika kutokana na upatikanaji wa exploits ni ndogo ikilinganishwa na idadi ya watu wanaodhurika na wale wanaotumia exploits kwa nia mbaya. Hata hivyo, tutafichua taarifa kuhusu udhaifu ambao huenda hatukuwa tumeufichua hapo awali. Ndani ya mipaka ya rasilimali zetu, tutachapisha taarifa kuhusu udhaifu mwingi kadiri tuwezavyo.

Swali: Kwa nini si siku 30, au siku 15, au mara moja?

Jibu: Tunadhani siku 45 zinaweza kuwa tarehe ya mwisho ngumu kabisa kwa shirika kubwa kuifikia. Kuifupisha hakutasaidia tatizo kwa uhalisia. Kukiwa hakuna ushahidi wa unyonyaji, kutangaza udhaifu bila sababu huenda isiwe kwa maslahi bora ya usalama wa umma.

Swali: Je, haingekuwa bora kuweka udhaifu kimya kama hakuna marekebisho yanayopatikana?

Jibu: Udhaifu hugunduliwa na kufichuliwa mara kwa mara, mara nyingi kabla wauzaji hawajapata fursa ya haki ya kutoa marekebisho, na ufichuaji mara nyingi hujumuisha exploits zinazofanya kazi. Kwa uzoefu wetu, kama hakuna ufichuaji wa taarifa za udhaifu ulio wa kuwajibika na wenye sifa, watafiti, wanaprogramu, wasimamizi wa mifumo, na wataalamu wengine wa TEHAMA wanaogundua udhaifu mara nyingi huhisi hawana chaguo ila kuweka taarifa hadharani kwa jaribio la kuwalazimisha wauzaji kulishughulikia tatizo.

Swali: Je, udhaifu wote utafichuliwa ndani ya siku 45?

Jibu: Hapana. Mara nyingi kunaweza kuwa na hali zitakazotufanya kurekebisha ratiba yetu ya uchapishaji. Vitisho vilivyo vizito sana au ambavyo tuna ushahidi wa unyonyaji vina uwezekano wa kutufanya kufupisha ratiba yetu ya kutoa taarifa. Vitisho vinavyohitaji mabadiliko "magumu" (mabadiliko ya viwango, mabadiliko ya vipengele vya msingi vya mfumo wa uendeshaji) vitatufanya kurefusha ratiba yetu ya uchapishaji. Huenda tusichapishe kila udhaifu unaoripotiwa kwetu.

Swali: Je, mtawashtukiza wauzaji kwa matangazo ya udhaifu?

Jibu: Hapana. Kabla ya ufichuaji wa umma, tutafanya jitihada za nia njema kuwajulisha wauzaji kuhusu nia zetu.

Swali: Muuzaji akikataa tathmini yenu ya tatizo, je, taarifa hizo zitapatikana?

Jibu: Ndiyo. Tunaomba na kuchapisha kauli za wauzaji zilizothibitishwa na kurejelea taarifa husika za wauzaji katika maelezo ya udhaifu. Hatutazuia taarifa zilizotolewa na muuzaji kwa sababu tu zinatofautiana na tathmini yetu ya tatizo.

Swali: Nani anapata taarifa kabla ya ufichuaji wa umma?

Jibu: Kwa jumla, tunatoa taarifa kwa yeyote anayeweza kuchangia suluhisho na ambaye tuna uhusiano wa kuaminiana naye, ikiwa ni pamoja na wauzaji (mara nyingi wakijumuisha wauzaji ambao bidhaa zao hazina udhaifu), wataalamu wa jamii, wafadhili, na tovuti ambazo ni sehemu ya miundombinu muhimu ya kitaifa, ikiwa tunaamini tovuti hizo ziko hatarini.

Swali: Je, mnafichua kila udhaifu unaoripotiwa?

Jibu: Hapana. Tunaweza, kwa hiari yetu, kukataa kuratibu au kuchapisha ripoti ya udhaifu. Uamuzi huu kwa kawaida hutegemea wigo na ukali wa udhaifu na uwezo wetu wa kuongeza thamani katika mchakato wa uratibu na ufichuaji. Iwe tunaratibu au tunachapisha au la, tunapendekeza mwripoti afanye jitihada za nia njema kumjulisha muuzaji aliyeathirika na kufanya kazi naye moja kwa moja kabla ya ufichuaji wa umma.