Podle zpráv z internetových zdrojů tým výzkumníků Google Project Zero, kteří pracují v oblasti kybernetické bezpečnosti, změní svá pravidla, podle nichž se informace o nalezených zranitelnostech stávají veřejnými.
Podle nových pravidel nebude zveřejněna informace o nalezených zranitelnostech až do uplynutí 90denní lhůty. Bez ohledu na to, kdy vývojáři problém vyřeší, zástupci Project Zero nebudou informace o něm zveřejňovat veřejně. Nová pravidla budou používána během tohoto roku, po kterém výzkumníci zhodnotí vhodnost jejich dlouhodobého zavedení.
V minulosti výzkumníci z Project Zero poskytovali vývojářům softwaru 90 dní na opravu nalezených zranitelností. Pokud byl však opravný patch vydán před uplynutím této lhůty, informace o zranitelnosti se stala veřejnou. Výzkumníci se domnívali, že to není správné, protože v mnoha případech musí uživatelé spěchat s instalací aktualizací, aby se nestali oběťmi útočníků. Vývojář může zranitelnost opravit, ale to nic neznamená, pokud patch ještě neobdržel široké rozšíření.
Proto nyní, bez ohledu na to, zda bude opravný patch vydán za 20 nebo 90 dní poté, co Project Zero informuje vývojáře o problému, informace o zranitelnosti bude zveřejněna pouze po 90 dnech. Pravidla obsahují některé výjimky. Například, pokud se výzkumníci a vývojáři dohodnou, může být lhůta na řešení problému prodloužena o 14 dní. To je možné, pokud vývojáři softwaru potřebují více času na vytvoření patche. Sedmidenní lhůta pro řešení zranitelností, které již útočníci využívají, zůstane nezměněna.
Výzkumníci z Project Zero poznamenávají, že od začátku své činnosti je vykonávána kvalitnější práce na řešení nalezených zranitelností. Například v roce 2014, kdy byl projekt teprve založen, zranitelnosti někdy nebyly opraveny ani po šesti měsících od jejich objevení. V současnosti 97,7 % nalezených zranitelností opravují vývojáři během 90denního období.
Zdroj: 3dnews.ru
