CERT: นโยบายการเปิดเผยช่องโหว่

• ผู้ติดต่อ: ?
• เว็บไซต์: http://www.cert.org/vulnerability-analysis/vul-disclosure.cfm
• ตรวจสอบเมื่อ: 2017-09-21

ช่องโหว่ที่รายงานให้ CERT/CC จะถูกเปิดเผยต่อสาธารณะ 45 วันหลังการรายงานครั้งแรก โดยไม่คำนึงว่าผู้จำหน่ายที่ได้รับผลกระทบจะมีแพตช์หรือวิธีแก้ปัญหาชั่วคราวหรือไม่ หรือมีให้ใช้หรือไม่ สถานการณ์ที่ทุเลาเบาบางลง เช่น การถูกโจมตีใช้ประโยชน์อยู่จริง ภัยคุกคามที่ร้ายแรงเป็นพิเศษ (หรือเล็กน้อย) หรือสถานการณ์ที่ต้องเปลี่ยนแปลงมาตรฐานที่วางไว้แล้ว อาจทำให้การเปิดเผยเร็วขึ้นหรือช้าลง การเปิดเผยที่ทำโดย CERT/CC จะให้เครดิตแก่ผู้รายงาน เว้นแต่ผู้รายงานร้องขอเป็นอย่างอื่น เราจะแจ้งแผนการเผยแพร่ของเราให้ผู้จำหน่ายที่ได้รับผลกระทบทราบ และเจรจากำหนดการเผยแพร่ทางเลือกกับผู้จำหน่ายที่ได้รับผลกระทบเมื่อจำเป็น

เป้าหมายของนโยบายนี้คือสร้างสมดุลระหว่างความจำเป็นของสาธารณชนที่จะได้รับแจ้งเกี่ยวกับช่องโหว่ด้านความปลอดภัย กับความจำเป็นของผู้จำหน่ายที่ต้องมีเวลาตอบสนองอย่างมีประสิทธิภาพ การตัดสินขั้นสุดท้ายเกี่ยวกับกำหนดการเผยแพร่จะอิงตามประโยชน์สูงสุดของชุมชนโดยรวม

ช่องโหว่ที่รายงานมายังเราจะถูกส่งต่อให้ผู้จำหน่ายที่ได้รับผลกระทบโดยเร็วที่สุดเท่าที่ปฏิบัติได้หลังจากเราได้รับรายงาน ชื่อและข้อมูลติดต่อของผู้รายงานจะถูกส่งต่อให้ผู้จำหน่ายที่ได้รับผลกระทบ เว้นแต่ผู้รายงานร้องขอเป็นอย่างอื่น เราจะแจ้งผู้รายงานเมื่อสถานะของช่องโหว่ที่เขาหรือเธอรายงานมีการเปลี่ยนแปลงที่สำคัญ เท่าที่ทำได้โดยไม่เปิดเผยข้อมูลที่ให้แก่เราเป็นความลับ

ช่องโหว่จะถูกเปิดเผยใน Vulnerability Notes

รายงานช่องโหว่สำหรับเว็บไซต์ของรัฐบาลสหรัฐฯ จะถูกส่งต่อให้ US-CERT เพื่อประสานงานกับรัฐบาล

คำถามที่พบบ่อย

ถาม: นี่หมายความว่า CERT/CC กำลังไปสู่ "full disclosure" ใช่หรือไม่

ตอบ: เราจะไม่เผยแพร่ exploit หาก "full disclosure" หมายถึงสิ่งนั้น จากประสบการณ์ของเรา จำนวนคนที่ได้ประโยชน์จากการมี exploit ให้ใช้นั้นน้อยเมื่อเทียบกับจำนวนคนที่ได้รับอันตรายจากผู้ที่ใช้ exploit ในทางที่เป็นอันตราย อย่างไรก็ตาม เราจะเปิดเผยข้อมูลเกี่ยวกับช่องโหว่ที่เราอาจไม่เคยเปิดเผยมาก่อน ภายในขีดจำกัดของทรัพยากรของเรา เราจะเผยแพร่ข้อมูลเกี่ยวกับช่องโหว่ให้มากที่สุดเท่าที่ทำได้

ถาม: ทำไมไม่ใช่ 30 วัน หรือ 15 วัน หรือทันที

ตอบ: เราคิดว่า 45 วันอาจเป็นกำหนดเวลาที่ค่อนข้างยากสำหรับองค์กรขนาดใหญ่ การทำให้สั้นลงจะไม่ช่วยแก้ปัญหาได้อย่างเป็นจริง หากไม่มีหลักฐานการโจมตีใช้ประโยชน์ การประกาศช่องโหว่โดยไม่มีเหตุผลอาจไม่เป็นประโยชน์สูงสุดต่อความปลอดภัยสาธารณะ

ถาม: จะดีกว่าไหมที่จะเก็บช่องโหว่ไว้เงียบ ๆ หากยังไม่มีการแก้ไข

ตอบ: ช่องโหว่ถูกค้นพบและเปิดเผยเป็นประจำ บ่อยครั้งก่อนที่ผู้จำหน่ายจะมีโอกาสอันสมควรในการจัดหาการแก้ไข และการเปิดเผยมักรวมถึง exploit ที่ใช้งานได้ จากประสบการณ์ของเรา หากไม่มีการเปิดเผยข้อมูลช่องโหว่อย่างรับผิดชอบและมีคุณสมบัติเหมาะสม นักวิจัย โปรแกรมเมอร์ ผู้ดูแลระบบ และผู้เชี่ยวชาญด้านไอทีอื่น ๆ ที่ค้นพบช่องโหว่มักรู้สึกว่าไม่มีทางเลือกนอกจากเปิดเผยข้อมูลต่อสาธารณะเพื่อพยายามกดดันให้ผู้จำหน่ายแก้ไขปัญหา

ถาม: ช่องโหว่ทั้งหมดจะถูกเปิดเผยภายใน 45 วันหรือไม่

ตอบ: ไม่ มักมีสถานการณ์ที่ทำให้เราปรับกำหนดการเผยแพร่ ภัยคุกคามที่ร้ายแรงเป็นพิเศษหรือที่เรามีหลักฐานว่าถูกโจมตีใช้ประโยชน์ มีแนวโน้มทำให้เรากำหนดการเผยแพร่สั้นลง ภัยคุกคามที่ต้องมีการเปลี่ยนแปลงที่ "ยาก" (การเปลี่ยนแปลงมาตรฐาน การเปลี่ยนแปลงส่วนประกอบหลักของระบบปฏิบัติการ) จะทำให้เรายืดกำหนดการเผยแพร่ออกไป เราอาจไม่เผยแพร่ทุกช่องโหว่ที่มีผู้รายงานมาให้เรา

ถาม: คุณจะทำให้ผู้จำหน่ายตกใจด้วยการประกาศช่องโหว่หรือไม่

ตอบ: ไม่ ก่อนการเปิดเผยต่อสาธารณะ เราจะพยายามอย่างสุจริตใจที่จะแจ้งเจตนาของเราให้ผู้จำหน่ายทราบ

ถาม: หากผู้จำหน่ายไม่เห็นด้วยกับการประเมินปัญหาของคุณ ข้อมูลนั้นจะมีให้หรือไม่

ตอบ: มี เราขอและโพสต์แถลงการณ์ของผู้จำหน่ายที่ผ่านการยืนยันตัวตน และอ้างอิงข้อมูลของผู้จำหน่ายที่เกี่ยวข้องใน vulnerability notes เราจะไม่ปิดบังข้อมูลที่ผู้จำหน่ายให้มา เพียงเพราะข้อมูลนั้นไม่สอดคล้องกับการประเมินปัญหาของเรา

ถาม: ใครได้รับข้อมูลก่อนการเปิดเผยต่อสาธารณะ

ตอบ: โดยทั่วไป เราให้ข้อมูลแก่ผู้ที่สามารถมีส่วนในการแก้ไขและมีความสัมพันธ์ที่ไว้วางใจกับเรา รวมถึงผู้จำหน่าย (ซึ่งมักรวมถึงผู้จำหน่ายที่ผลิตภัณฑ์ไม่มีช่องโหว่) ผู้เชี่ยวชาญในชุมชน ผู้สนับสนุน และไซต์ที่เป็นส่วนหนึ่งของโครงสร้างพื้นฐานสำคัญของชาติ หากเราเชื่อว่าไซต์เหล่านั้นมีความเสี่ยง

ถาม: คุณเปิดเผยทุกช่องโหว่ที่มีผู้รายงานหรือไม่

ตอบ: ไม่ เราอาจปฏิเสธที่จะประสานงานหรือเผยแพร่รายงานช่องโหว่ตามดุลยพินิจของเรา การตัดสินใจนี้โดยทั่วไปอิงตามขอบเขตและความรุนแรงของช่องโหว่ และความสามารถของเราในการเพิ่มคุณค่าให้กระบวนการประสานงานและการเปิดเผย ไม่ว่าเราจะประสานงานหรือเผยแพร่หรือไม่ เราแนะนำให้ผู้รายงานพยายามอย่างสุจริตใจที่จะแจ้งและทำงานโดยตรงกับผู้จำหน่ายที่ได้รับผลกระทบก่อนการเปิดเผยต่อสาธารณะ