Coordinated vulnerability disclosure
← Politikalar

CERT: Güvenlik Açığı Bildirim Politikası

CERT/CC'ye bildirilen güvenlik açıkları, etkilenen satıcıların yama veya geçici çözümlerinin varlığına ya da mevcudiyetine bakılmaksızın ilk rapordan 45 gün sonra kamuya açıklanacaktır. Aktif istismar, özellikle ciddi (veya önemsiz) nitelikteki tehditler ya da yerleşik bir standarda değişiklik gerektiren durumlar gibi hafifletici koşullar, daha erken veya daha geç bir bildirime yol açabilir. CERT/CC tarafından yapılan bildirimler, raporu gönderen kişi aksini talep etmedikçe onun adına atıfta bulunmayı içerecektir. Etkilenen satıcıları yayın planlarımızdan haberdar edeceğiz ve gerektiğinde etkilenen satıcılarla alternatif yayın takvimleri müzakere edeceğiz.

Bu politikanın amacı, kamunun güvenlik açıkları hakkında bilgilendirilme ihtiyacı ile satıcıların etkili yanıt vermek için zamana olan ihtiyacını dengelemektir. Yayın takviminin nihai belirlenmesi, genel olarak topluluğun en iyi çıkarlarına dayanacaktır.

Bize bildirilen güvenlik açıkları, raporu aldıktan sonra mümkün olan en kısa sürede etkilenen satıcılara iletilecektir. Raporu gönderen kişinin adı ve iletişim bilgileri, kendisi aksini talep etmedikçe etkilenen satıcılara iletilecektir. Raporu gönderen kişiye, bize gizlilik içinde verilen bilgileri ifşa etmeden mümkün olduğu ölçüde, bildirdiği herhangi bir güvenlik açığının durumundaki önemli değişiklikleri bildireceğiz.

Güvenlik açıkları Güvenlik Açığı Notları'nda (Vulnerability Notes) açıklanacaktır.

ABD Hükümeti web siteleri için güvenlik açığı raporları, hükümetle koordinasyon için US-CERT'e iletilecektir.

Sıkça Sorulan Sorular

S: Bu, CERT/CC'nin "tam bildirime" (full disclosure) geçtiği anlamına mı geliyor?

C: "Tam bildirim" bunu ifade ediyorsa, istismar kodları (exploit) dağıtmayacağız. Deneyimlerimize göre, istismar kodlarının mevcudiyetinden yararlanabilecek kişilerin sayısı, istismar kodlarını kötü niyetle kullanan kişiler tarafından zarar görenlerin sayısına kıyasla azdır. Ancak daha önce açıklamamış olabileceğimiz güvenlik açıkları hakkında bilgi açıklayacağız. Kaynaklarımızın sınırları içinde, olabildiğince çok güvenlik açığı hakkında bilgi yayınlayacağız.

S: Neden 30 gün, 15 gün veya hemen değil?

C: 45 günün büyük bir kuruluş için oldukça zor bir son tarih olabileceğini düşünüyoruz. Bunu kısaltmak sorunu gerçekçi olarak çözmeye yardımcı olmayacaktır. İstismar kanıtının yokluğunda, güvenlik açıklarını gereksiz yere duyurmak kamu güvenliğinin en iyi çıkarına olmayabilir.

S: Bir düzeltme yoksa güvenlik açıklarını gizli tutmak daha iyi olmaz mıydı?

C: Güvenlik açıkları rutin olarak keşfedilir ve açıklanır; çoğu zaman satıcılar düzeltme sağlamak için adil bir fırsat bulmadan önce ve bildirim sıklıkla çalışan istismar kodlarını içerir. Deneyimlerimize göre, güvenlik açığı bilgilerinin sorumlu ve nitelikli bir şekilde açıklanmaması durumunda, güvenlik açıklarını keşfeden araştırmacılar, programcılar, sistem yöneticileri ve diğer BT profesyonelleri, satıcıları sorunu ele almaya zorlamak amacıyla bilgiyi kamuya açıklamaktan başka seçenekleri olmadığını sıklıkla hisseder.

S: Tüm güvenlik açıkları 45 gün içinde açıklanacak mı?

C: Hayır. Yayın takvimimizi ayarlamamıza neden olacak durumlar sıklıkla olabilir. Özellikle ciddi olan veya istismar kanıtına sahip olduğumuz tehditler büyük olasılıkla yayın takvimimizi kısaltmamıza neden olacaktır. "Zor" değişiklikler (standartlarda değişiklikler, işletim sistemi çekirdek bileşenlerinde değişiklikler) gerektiren tehditler yayın takvimimizi uzatmamıza neden olacaktır. Bize bildirilen her güvenlik açığını yayınlamayabiliriz.

S: Satıcıları güvenlik açığı duyurularıyla şaşırtacak mısınız?

C: Hayır. Kamuya açıklamadan önce, satıcıları niyetlerimizden haberdar etmek için iyi niyetle çaba göstereceğiz.

S: Bir satıcı sizin bir soruna ilişkin değerlendirmenize katılmazsa, bu bilgi mevcut olacak mı?

C: Evet. Kimliği doğrulanmış satıcı beyanlarını talep eder ve yayınlarız ve güvenlik açığı notlarında ilgili satıcı bilgilerine atıfta bulunuruz. Satıcı tarafından sağlanan bilgileri, yalnızca sorun hakkındaki değerlendirmemizle uyuşmadığı için saklamayacağız.

S: Kamuya açıklamadan önce bilgiyi kim alır?

C: Genel olarak, çözüme katkıda bulunabilecek ve güvene dayalı bir ilişkimiz olan herkese bilgi veririz; bunlara satıcılar (genellikle ürünleri savunmasız olmayan satıcılar dahil), topluluk uzmanları, sponsorlar ve ulusal kritik altyapının parçası olan siteler (bu sitelerin risk altında olduğuna inanıyorsak) dahildir.

S: Bildirilen her güvenlik açığını açıklıyor musunuz?

C: Hayır. Takdirimize bağlı olarak bir güvenlik açığı raporunu koordine etmeyi veya yayınlamayı reddedebiliriz. Bu karar genellikle güvenlik açığının kapsamına ve ciddiyetine ve koordinasyon ile bildirim sürecine değer katma yeteneğimize dayanır. Koordine etsek de yayınlasak da etmesek de, raporu gönderen kişinin kamuya açıklamadan önce etkilenen satıcıyı bilgilendirmek ve onunla doğrudan çalışmak için iyi niyetle çaba göstermesini öneririz.