Координирано разкриване
Деветдесет дни, като отчитането започва, когато осъществим контакт.
Нашите изследователи намират уязвимости в широко разпространен софтуер, както и в клиентски системи. Ето какво следва — публикувано, за да знае точно какво да очаква доставчик, който получи съобщение от нас, и за да може всеки, който чете нашите бюлетини да знае как са се появили там.
- 1Първо се свързваме с доставчика
Преди да бъде публикувано каквото и да е и преди да бъде заявен CVE. Използваме публикуваното от доставчика лице за контакт по сигурността, където такова съществува — security.txt, страница за разкриване, програма за награди за уязвимости — и търсим човек, ако няма. Докладът включва какъв е дефектът, къде е, как да бъде възпроизведен и какво получава нападател.
- 2Отчитането започва при първия контакт
Деветдесет дни. Започва, когато осъществим контакт, а не когато доставчикът реши да отговори, защото иначе мълчанието би било начин часовникът да бъде спрян. Ако не можем да намерим никакъв път за контакт, ще го посочим в бюлетина.
- 3Координираме действията и обсъждаме удължаване на срока
Ако доставчикът участва и му е нужно повече време по основателна причина — сложна поправка, график на изданията, съгласувана кръпка по-нагоре по веригата — ще удължим срока. Предпочитаме една поправка да излезе както трябва, вместо да бъде спазен краен срок. Това, което няма да направим, е да удължаваме безсрочно за доставчик, който е спрял да отговаря.
- 4Заявява се CVE, където е приложимо
За да могат потребителите на продукта да го следят и за да съществува записът независимо от нас. Там, където доставчикът е CNA за собствения си продукт, решението е негово.
- 5Публикуваме след поправката или след 90 дни
Което от двете настъпи първо. Бюлетинът се публикува в нашия указател на бюлетините със засегнатите версии, поправената версия, където такава съществува, препратките и изследователя, посочен по име.
Другата половина
Какво не правим
- Не продаваме това, което намирамеНито на брокери, нито на правителства, нито на никого. Дефект, който намерим в софтуер на трета страна, отива при доставчика. Всеки бюлетин, който сме публикували, е отишъл първо при доставчика.
- Не публикуваме работещ експлойтНашите бюлетини описват класа уязвимост, засегнатия компонент и въздействието на нивото, на което го прави един бюлетин на доставчик. Там, където proof of concept вече е публичен, може да го посочим; ние не добавяме такъв.
- Не публикуваме, без да сме опитали да осъществим контактДори там, където доставчикът няма лице за контакт по сигурността, няма страница за разкриване и няма явен собственик. Ако публикуваме без отговор, бюлетинът отразява какво сме опитали.
- Не задържаме констатации безсрочноУязвимост, която никога не бъде разкрита, не защитава никого освен доставчика. Деветдесет дни са достатъчно дълги, за да бъде поправен дефект, и достатъчно кратки, за да не останат потребителите изложени, докато нищо не се случва.
Ако сте доставчик, с когото сме се свързали
Отговорете на адреса, от който е дошъл докладът, или пишете на [email protected]. Ако ви трябва защитен канал, поискайте и ще осигурим такъв. Не се опитваме да ви хванем в грешка: удължаване за доставчик, който участва и отстранява проблема, е почти винаги възможно, а отстранен дефект е по-добър изход от точен по срок бюлетин.
Често задавани въпроси
Въпроси за разкриването
Какво, ако дефектът вече се използва?
Тогава деветдесетте дни може да не важат. Там, където имаме основание да считаме, че уязвимост се използва в действителност, равновесието се измества от даването на време на доставчика към даването на потребителите възможност да се защитят, и може да публикуваме по-рано. Ако го направим, бюлетинът ще го посочи и ще каже защо.
Какво, ако доставчикът не отговори?
Публикуваме на деветдесетия ден. Бюлетинът отразява, че е бил опитан контакт и е останал без отговор. Много повече бихме предпочели да съгласуваме, но доставчик, който не участва, не може да спре часовника, като мълчи.
Може ли доставчик да получи удължаване?
Да, когато участва и има действителна причина — сложна поправка, цикъл на издаване, зависимост по-нагоре по веригата, съгласуван проблем между няколко доставчика. Попитайте ни. Това, което не печели удължаване, е да замълчиш и после да възразиш на осемдесет и деветия ден.
Докладвате ли дефекти, които намирате по време на клиентски ангажимент?
Ако намерим уязвимост в софтуер на трета страна, докато тестваме за клиент, констатацията принадлежи първо на отчета на клиента. Разкриването ѝ по-нататък към доставчика е отделно решение, взето заедно с клиента, защото може да разкрие, че той е провеждал тестване. Никога не разкриваме идентичността на клиент пред доставчик.
Покрива ли това дефекти в собствените ви системи?
Не. За проблеми в нашите системи вижте страницата за доверие и сигурност заедно с нашия security.txt. Ако сте открили проблем в сайт на PXLSec или в публикуван от нас софтуер, свържете се с нас.
Трябва да се свържете с нас относно доклад?
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност