Според съобщения от мрежови източници, тази година екипът на Google Project Zero, който работи в сферата на информационната сигурност, ще промени собствените си правила, съгласно които данните за откритите уязвимости стават публични.
Съгласно новите правила информацията за откритите уязвимости няма да бъде обявявана до изтичането на 90-дневния срок. Независимо от това кога разработчиците решат проблема, представителите на Project Zero няма да разкрият информацията публично. Новите правила ще се прилагат през тази година, след което изследователите ще оценят целесъобразността им за постоянно прилагане.
В миналото изследователите от Project Zero даваха на разработчиците на софтуер 90 дни за отстраняване на откритите уязвимости. Ако обаче пачът за корекция на грешки беше издаден преди този срок, информацията за уязвимостта ставаше общодостъпна. Изследователите считат, че това не е правилно, тъй като в много случаи на потребителите им се налага да бързат с инсталирането на обновления, за да не станат жертва на злонамерени лица. Разработчикът може да усъвършенства уязвимостта, но това няма значение, ако пачът не е получил широко разпространение.
Следователно сега, независимо дали корекцията ще бъде издадена 20 или 90 дни след като Project Zero съобщи на разработчика за проблема, информацията за уязвимостта ще бъде обявена само след 90 дни. В правилата има някои изключения. Например, ако изследователите и разработчиците постигнат споразумение, времето за отстраняване на проблема може да бъде удължено с 14 дни. Това е възможно, ако разработчиците на софтуер се нуждаят от повече време за създаване на пач. Седемдневният срок за отстраняване на уязвимости, които вече са използвани от злонамерени лица, остава непроменен.
Изследователите от Project Zero отбелязват, че от началото на тяхната дейност е започнала да се извършва по-качествена работа по отстраняване на откритите уязвимости. Например, през 2014 година, когато проектът току-що беше основан, уязвимости понякога не се отстраняваха дори след шест месеца след откритията им. В момента 97,7% от откритите уязвимости се отстраняват от разработчиците в рамките на 90-дневния срок.
Източник: 3dnews.ru
