Coordinated vulnerability disclosure
← Chính sách

CERT: Chính sách công bố lỗ hổng bảo mật

Các lỗ hổng được báo cáo cho CERT/CC sẽ được công bố công khai sau 45 ngày kể từ báo cáo ban đầu, bất kể có hay không bản vá hoặc giải pháp tạm thời từ các nhà cung cấp bị ảnh hưởng. Các tình huống giảm nhẹ, chẳng hạn bị khai thác tích cực, các mối đe dọa có tính chất đặc biệt nghiêm trọng (hoặc tầm thường), hoặc các tình huống đòi hỏi thay đổi một tiêu chuẩn đã được thiết lập, có thể dẫn đến việc công bố sớm hơn hoặc muộn hơn. Các công bố do CERT/CC thực hiện sẽ ghi công người báo cáo trừ khi người báo cáo yêu cầu khác. Chúng tôi sẽ thông báo cho các nhà cung cấp bị ảnh hưởng về kế hoạch công bố của chúng tôi và thương lượng lịch công bố thay thế với các nhà cung cấp bị ảnh hưởng khi cần thiết.

Mục tiêu của chính sách này là cân bằng giữa nhu cầu của công chúng được biết về các lỗ hổng bảo mật và nhu cầu của các nhà cung cấp về thời gian để phản ứng hiệu quả. Quyết định cuối cùng về lịch công bố sẽ dựa trên lợi ích tốt nhất của toàn bộ cộng đồng.

Các lỗ hổng được báo cáo cho chúng tôi sẽ được chuyển đến các nhà cung cấp bị ảnh hưởng ngay khi có thể sau khi chúng tôi nhận được báo cáo. Tên và thông tin liên hệ của người báo cáo sẽ được chuyển đến các nhà cung cấp bị ảnh hưởng trừ khi người báo cáo yêu cầu khác. Chúng tôi sẽ thông báo cho người báo cáo về những thay đổi đáng kể trong trạng thái của bất kỳ lỗ hổng nào mà họ đã báo cáo trong phạm vi có thể mà không tiết lộ thông tin được cung cấp cho chúng tôi một cách bí mật.

Các lỗ hổng sẽ được công bố trong Vulnerability Notes (Ghi chú lỗ hổng).

Các báo cáo lỗ hổng cho các trang web của Chính phủ Hoa Kỳ sẽ được chuyển đến US-CERT để phối hợp với chính phủ.

Câu hỏi thường gặp

H: Điều này có nghĩa là CERT/CC đang chuyển sang "công bố toàn bộ" (full disclosure) không?

Đ: Chúng tôi sẽ không phân phối các exploit, nếu đó là ý nghĩa của "công bố toàn bộ". Theo kinh nghiệm của chúng tôi, số người được hưởng lợi từ việc có sẵn exploit là nhỏ so với số người bị hại bởi những người sử dụng exploit với ý đồ xấu. Tuy nhiên, chúng tôi sẽ công bố thông tin về các lỗ hổng mà trước đây có thể chúng tôi chưa công bố. Trong giới hạn nguồn lực của mình, chúng tôi sẽ công bố thông tin về càng nhiều lỗ hổng càng tốt.

H: Tại sao không phải 30 ngày, hoặc 15 ngày, hoặc ngay lập tức?

Đ: Chúng tôi cho rằng 45 ngày có thể là một thời hạn khá khắt khe đối với một tổ chức lớn. Rút ngắn hơn nữa sẽ không giúp ích thực tế cho vấn đề. Khi không có bằng chứng về việc bị khai thác, việc công bố các lỗ hổng một cách vô cớ có thể không phục vụ lợi ích tốt nhất của an toàn công cộng.

H: Chẳng phải tốt hơn nếu giữ im lặng về các lỗ hổng khi chưa có bản sửa sao?

Đ: Các lỗ hổng thường xuyên được phát hiện và công bố, thường là trước khi các nhà cung cấp có cơ hội công bằng để cung cấp bản sửa, và việc công bố thường kèm theo các exploit hoạt động được. Theo kinh nghiệm của chúng tôi, nếu không có việc công bố thông tin lỗ hổng một cách có trách nhiệm và đủ năng lực, thì các nhà nghiên cứu, lập trình viên, quản trị viên hệ thống và các chuyên gia CNTT khác phát hiện ra lỗ hổng thường cảm thấy họ không có lựa chọn nào khác ngoài việc công khai thông tin để ép các nhà cung cấp giải quyết vấn đề.

H: Tất cả các lỗ hổng có được công bố trong vòng 45 ngày không?

Đ: Không. Thường có những hoàn cảnh khiến chúng tôi điều chỉnh lịch công bố. Các mối đe dọa đặc biệt nghiêm trọng hoặc mà chúng tôi có bằng chứng bị khai thác nhiều khả năng sẽ khiến chúng tôi rút ngắn lịch phát hành. Các mối đe dọa đòi hỏi thay đổi "khó" (thay đổi tiêu chuẩn, thay đổi các thành phần cốt lõi của hệ điều hành) sẽ khiến chúng tôi kéo dài lịch công bố. Chúng tôi có thể không công bố mọi lỗ hổng được báo cáo cho chúng tôi.

H: Các bạn có làm các nhà cung cấp bất ngờ bằng những thông báo về lỗ hổng không?

Đ: Không. Trước khi công bố công khai, chúng tôi sẽ nỗ lực với thiện chí để thông báo cho các nhà cung cấp về ý định của mình.

H: Nếu một nhà cung cấp không đồng ý với đánh giá của các bạn về một vấn đề, thông tin đó có được công bố không?

Đ: Có. Chúng tôi thu thập và đăng các tuyên bố đã được xác thực của nhà cung cấp và dẫn chiếu thông tin liên quan của nhà cung cấp trong các ghi chú lỗ hổng. Chúng tôi sẽ không giữ lại thông tin do nhà cung cấp cung cấp chỉ vì nó không đồng ý với đánh giá của chúng tôi về vấn đề.

H: Ai nhận được thông tin trước khi công bố công khai?

Đ: Nói chung, chúng tôi cung cấp thông tin cho bất kỳ ai có thể đóng góp vào giải pháp và có mối quan hệ tin cậy với chúng tôi, bao gồm các nhà cung cấp (thường gồm cả các nhà cung cấp có sản phẩm không bị lỗ hổng), các chuyên gia cộng đồng, các nhà tài trợ, và các trang web thuộc hạ tầng trọng yếu quốc gia, nếu chúng tôi tin rằng các trang web đó đang gặp rủi ro.

H: Các bạn có công bố mọi lỗ hổng được báo cáo không?

Đ: Không. Chúng tôi có thể, theo quyết định của mình, từ chối phối hợp hoặc công bố một báo cáo lỗ hổng. Quyết định này thường dựa trên phạm vi và mức độ nghiêm trọng của lỗ hổng và khả năng của chúng tôi trong việc gia tăng giá trị cho quá trình phối hợp và công bố. Dù chúng tôi có phối hợp hoặc công bố hay không, chúng tôi khuyến nghị người báo cáo nỗ lực với thiện chí để thông báo và làm việc trực tiếp với nhà cung cấp bị ảnh hưởng trước khi công bố công khai.