CERT: کمزوری افشا کی پالیسی

• رابطہ: ?
• ویب سائٹ: http://www.cert.org/vulnerability-analysis/vul-disclosure.cfm
• تصدیق شدہ: 2017-09-21

CERT/CC کو رپورٹ کی گئی کمزوریاں ابتدائی رپورٹ کے 45 دن بعد عوام پر ظاہر کر دی جائیں گی، چاہے متاثرہ وینڈرز کی طرف سے پیچ یا متبادل حل موجود ہوں یا دستیاب ہوں۔ تخفیفی حالات، جیسے فعال استحصال، خاص طور پر سنگین (یا معمولی) نوعیت کے خطرات، یا ایسی صورتیں جن میں کسی قائم شدہ معیار میں تبدیلی درکار ہو، پہلے یا بعد میں افشا کا سبب بن سکتی ہیں۔ CERT/CC کے افشا میں رپورٹ کرنے والے کا کریڈٹ شامل ہوگا جب تک رپورٹ کرنے والا کوئی اور درخواست نہ کرے۔ ہم متاثرہ وینڈرز کو اپنے اشاعت کے منصوبوں سے آگاہ کریں گے اور ضرورت پڑنے پر متاثرہ وینڈرز کے ساتھ متبادل اشاعتی شیڈول پر بات چیت کریں گے۔

اس پالیسی کا مقصد سیکیورٹی کمزوریوں کے بارے میں عوام کے باخبر ہونے کی ضرورت اور مؤثر ردعمل کے لیے وینڈرز کی وقت کی ضرورت کے درمیان توازن قائم کرنا ہے۔ اشاعتی شیڈول کا حتمی تعین مجموعی طور پر برادری کے بہترین مفاد پر مبنی ہوگا۔

ہمیں رپورٹ کی گئی کمزوریاں رپورٹ موصول ہونے کے بعد جتنی جلدی عملاً ممکن ہو متاثرہ وینڈرز کو بھیج دی جائیں گی۔ رپورٹ کرنے والے کا نام اور رابطے کی معلومات متاثرہ وینڈرز کو بھیج دی جائیں گی جب تک رپورٹ کرنے والا کوئی اور درخواست نہ کرے۔ ہم رپورٹ کرنے والے کو اس کی رپورٹ کی گئی کسی بھی کمزوری کی حیثیت میں اہم تبدیلیوں سے اس حد تک آگاہ کریں گے جہاں تک ہمیں رازداری میں دی گئی معلومات ظاہر کیے بغیر ممکن ہو۔

کمزوریاں Vulnerability Notes (کمزوری کے نوٹس) میں ظاہر کی جائیں گی۔

امریکی حکومت کی ویب سائٹس کے لیے کمزوری کی رپورٹیں حکومت کے ساتھ ہم آہنگی کے لیے US-CERT کو بھیج دی جائیں گی۔

اکثر پوچھے جانے والے سوالات

س: کیا اس کا مطلب ہے کہ CERT/CC "مکمل افشا" (full disclosure) کی طرف جا رہا ہے؟

ج: ہم ایکسپلائٹس تقسیم نہیں کریں گے، اگر "مکمل افشا" کا یہی مطلب ہے۔ ہمارے تجربے میں ان لوگوں کی تعداد جو ایکسپلائٹس کی دستیابی سے فائدہ اٹھا سکتے ہیں، ان لوگوں کی تعداد کے مقابلے میں کم ہے جو ایکسپلائٹس کو بدنیتی سے استعمال کرنے والوں کی وجہ سے نقصان اٹھاتے ہیں۔ تاہم ہم ایسی کمزوریوں کے بارے میں معلومات ظاہر کریں گے جو ہم نے پہلے ظاہر نہ کی ہوں۔ اپنے وسائل کی حدود میں ہم زیادہ سے زیادہ کمزوریوں کے بارے میں معلومات شائع کریں گے۔

س: 30 دن، یا 15 دن، یا فوری کیوں نہیں؟

ج: ہم سمجھتے ہیں کہ کسی بڑے ادارے کے لیے 45 دن کافی سخت مدت ہو سکتی ہے۔ اسے مختصر کرنا حقیقت پسندانہ طور پر مسئلے میں مدد نہیں دے گا۔ استحصال کے ثبوت کی عدم موجودگی میں، کمزوریوں کا بلاوجہ اعلان کرنا عوامی تحفظ کے بہترین مفاد میں نہیں ہو سکتا۔

س: کیا کمزوریوں کو خاموش رکھنا بہتر نہ ہوگا اگر کوئی حل دستیاب نہ ہو؟

ج: کمزوریاں معمول کے مطابق دریافت اور ظاہر کی جاتی ہیں، اکثر اس سے پہلے کہ وینڈرز کو حل فراہم کرنے کا منصفانہ موقع ملے، اور افشا میں اکثر کام کرنے والے ایکسپلائٹس شامل ہوتے ہیں۔ ہمارے تجربے میں اگر کمزوری کی معلومات کا ذمہ دارانہ، اہل افشا نہ ہو تو محققین، پروگرامرز، سسٹم ایڈمنسٹریٹرز اور دیگر IT ماہرین جو کمزوریاں دریافت کرتے ہیں، اکثر محسوس کرتے ہیں کہ ان کے پاس معلومات کو عام کرنے کے سوا کوئی چارہ نہیں تاکہ وینڈرز کو مسئلہ حل کرنے پر مجبور کیا جا سکے۔

س: کیا تمام کمزوریاں 45 دن کے اندر ظاہر کی جائیں گی؟

ج: نہیں۔ اکثر ایسے حالات ہو سکتے ہیں جو ہمیں اپنا اشاعتی شیڈول ایڈجسٹ کرنے پر مجبور کریں۔ وہ خطرات جو خاص طور پر سنگین ہوں یا جن کے استحصال کا ہمارے پاس ثبوت ہو، غالباً ہمیں اپنا اجرا کا شیڈول مختصر کرنے پر مجبور کریں گے۔ وہ خطرات جن کے لیے "سخت" تبدیلیاں درکار ہوں (معیارات میں تبدیلیاں، آپریٹنگ سسٹم کے بنیادی اجزا میں تبدیلیاں) ہمیں اپنا اشاعتی شیڈول بڑھانے پر مجبور کریں گے۔ ہو سکتا ہے ہم ہر رپورٹ شدہ کمزوری شائع نہ کریں۔

س: کیا آپ وینڈرز کو کمزوریوں کے اعلانات سے حیران کریں گے؟

ج: نہیں۔ عوامی افشا سے پہلے ہم وینڈرز کو اپنے ارادوں سے آگاہ کرنے کی نیک نیتی سے کوشش کریں گے۔

س: اگر کوئی وینڈر کسی مسئلے کے آپ کے جائزے سے متفق نہ ہو تو کیا وہ معلومات دستیاب ہوں گی؟

ج: جی ہاں۔ ہم مستند وینڈر بیانات طلب کرتے اور شائع کرتے ہیں اور کمزوری کے نوٹس میں متعلقہ وینڈر کی معلومات کا حوالہ دیتے ہیں۔ ہم وینڈر کی فراہم کردہ معلومات محض اس لیے نہیں روکیں گے کہ وہ مسئلے کے ہمارے جائزے سے مختلف ہے۔

س: عوامی افشا سے پہلے معلومات کسے ملتی ہیں؟

ج: عام طور پر ہم معلومات ہر اس شخص کو دیتے ہیں جو حل میں حصہ ڈال سکتا ہو اور جس کے ساتھ ہمارا اعتماد کا رشتہ ہو، جن میں وینڈرز (اکثر ایسے وینڈرز بھی جن کی مصنوعات کمزور نہیں)، برادری کے ماہرین، اسپانسرز، اور وہ سائٹس شامل ہیں جو قومی اہم بنیادی ڈھانچے کا حصہ ہیں، اگر ہم سمجھیں کہ وہ سائٹس خطرے میں ہیں۔

س: کیا آپ ہر رپورٹ کی گئی کمزوری ظاہر کرتے ہیں؟

ج: نہیں۔ ہم اپنی صوابدید پر کسی کمزوری کی رپورٹ کو مربوط کرنے یا شائع کرنے سے انکار کر سکتے ہیں۔ یہ فیصلہ عام طور پر کمزوری کے دائرے اور شدت اور ہماری اس صلاحیت پر مبنی ہوتا ہے کہ ہم ہم آہنگی اور افشا کے عمل میں قدر کا اضافہ کر سکیں۔ ہم ہم آہنگی کریں یا شائع کریں یا نہ کریں، ہم تجویز کرتے ہیں کہ رپورٹ کرنے والا عوامی افشا سے پہلے متاثرہ وینڈر کو مطلع کرنے اور اس کے ساتھ براہ راست کام کرنے کی نیک نیتی سے کوشش کرے۔