CERT: політика розкриття вразливостей

• Контакт: ?
• Вебсайт: http://www.cert.org/vulnerability-analysis/vul-disclosure.cfm
• Перевірено: 2017-09-21

Вразливості, про які повідомлено CERT/CC, будуть оприлюднені через 45 днів після первинного звіту, незалежно від існування чи доступності патчів або обхідних шляхів від уражених постачальників. Пом'якшувальні обставини, такі як активна експлуатація, загрози особливо серйозного (або тривіального) характеру чи ситуації, що вимагають змін до усталеного стандарту, можуть призвести до ранішого або пізнішого розкриття. Розкриття, здійснені CERT/CC, включатимуть визнання того, хто повідомив, якщо той, хто повідомив, не попросить про інше. Ми повідомлятимемо уражених постачальників про наші плани публікації та за потреби домовлятимемося з ураженими постачальниками про альтернативні графіки публікації.

Мета цієї політики — збалансувати потребу громадськості бути поінформованою про вразливості безпеки з потребою постачальників у часі для ефективного реагування. Остаточне визначення графіка публікації ґрунтуватиметься на найкращих інтересах спільноти в цілому.

Вразливості, про які нам повідомлено, будуть переслані ураженим постачальникам, щойно це стане практично можливим після отримання звіту. Ім'я та контактна інформація того, хто повідомив, будуть передані ураженим постачальникам, якщо той, хто повідомив, не попросить про інше. Ми повідомлятимемо того, хто повідомив, про значні зміни стану будь-якої повідомленої ним вразливості тією мірою, якою це можливо без розкриття інформації, наданої нам конфіденційно.

Вразливості будуть розкриватися в Vulnerability Notes.

Звіти про вразливості для вебсайтів уряду США будуть переслані до US-CERT для координації з урядом.

Поширені запитання

З: Чи означає це, що CERT/CC переходить на «повне розкриття» (full disclosure)?

В: Ми не поширюватимемо експлойти (exploit), якщо саме це означає «повне розкриття». За нашим досвідом, кількість людей, які можуть отримати користь від доступності експлойтів, невелика порівняно з кількістю людей, яким шкодять ті, хто зловмисно використовує експлойти. Проте ми розкриватимемо інформацію про вразливості, яку ми, можливо, раніше не розкривали. У межах наших ресурсів ми публікуватимемо інформацію про якомога більшу кількість вразливостей.

З: Чому не 30 днів, або 15 днів, або негайно?

В: Ми вважаємо, що 45 днів може бути досить складним терміном для великої організації. Скорочення його реалістично не допоможе вирішити проблему. За відсутності доказів експлуатації безпідставне оголошення вразливостей може не відповідати найкращим інтересам громадської безпеки.

З: Чи не краще було б тримати вразливості в таємниці, якщо виправлення немає?

В: Вразливості регулярно виявляють і розкривають, часто до того, як постачальники мали справедливу можливість надати виправлення, і розкриття часто включає робочі експлойти. За нашим досвідом, якщо немає відповідального, кваліфікованого розкриття інформації про вразливості, дослідники, програмісти, системні адміністратори та інші ІТ-фахівці, які виявляють вразливості, часто відчувають, що в них немає іншого вибору, окрім як оприлюднити інформацію, намагаючись примусити постачальників розв'язати проблему.

З: Чи всі вразливості будуть розкриті протягом 45 днів?

В: Ні. Часто можуть бути обставини, які змусять нас скоригувати графік публікації. Загрози, які особливо серйозні або щодо яких ми маємо докази експлуатації, імовірно, призведуть до скорочення нашого графіка випуску. Загрози, які вимагають «жорстких» змін (змін до стандартів, змін до основних компонентів операційної системи), призведуть до продовження нашого графіка публікації. Ми можемо не публікувати кожну вразливість, про яку нам повідомлено.

З: Чи ви здивуєте постачальників оголошеннями про вразливості?

В: Ні. Перед публічним розкриттям ми добросовісно намагатимемося повідомити постачальників про наші наміри.

З: Якщо постачальник не погоджується з вашою оцінкою проблеми, чи буде ця інформація доступна?

В: Так. Ми запитуємо й публікуємо автентифіковані заяви постачальників та посилаємося на відповідну інформацію постачальників у vulnerability notes. Ми не утримуватимемо інформацію, надану постачальником, лише тому, що вона не збігається з нашою оцінкою проблеми.

З: Хто отримує інформацію до публічного розкриття?

В: Загалом ми надаємо інформацію всім, хто може сприяти розв'язанню та з ким у нас довірчі стосунки, включно з постачальниками (часто включно з постачальниками, чиї продукти не вразливі), експертами спільноти, спонсорами та сайтами, які є частиною національної критичної інфраструктури, якщо ми вважаємо, що ці сайти під загрозою.

З: Чи ви розкриваєте кожну повідомлену вразливість?

В: Ні. Ми можемо на власний розсуд відмовитися координувати або публікувати звіт про вразливість. Це рішення зазвичай ґрунтується на обсязі та серйозності вразливості й нашій здатності додати цінності процесу координації та розкриття. Незалежно від того, координуємо ми чи публікуємо, ми рекомендуємо тому, хто повідомив, добросовісно докласти зусиль, щоб повідомити ураженого постачальника й працювати з ним безпосередньо до публічного розкриття.