Google Project Zero muudab lähenemist haavatavuste paljastamisele

Võrgustikuwaldkondade andmetel muudab Google Project Zero teadlaste meeskond sel aastal oma reegleid, mille alusel muutuvad tuvastatud haavatavuste andmed avalikuks.

Uute reeglite kohaselt ei avalikustata teavet leitud haavatavuste kohta enne 90-päevase perioodi möödumist. Ükskõik, millal arendajad probleemi lahendavad, ei avalda Project Zero esindajad teavet avalikult. Uusi reegleid rakendatakse sellel aastal, pärast mida hindavad teadlased nende alalise rakendamise otstarbekust.

Varem andsid Project Zero teadlased tarkvaraarendajatele 90 päeva tuvastatud haavatavuste kõrvaldamiseks. Kui patch, mis viga parandab, avaldati enne tähtaega, muutus teave haavatavuse kohta avalikuks. Teadlased pidasid seda vale, kuna paljudel juhtudel peavad kasutajad kiirustama värskenduste installimisega, et mitte sattuda küberkurjategijate ohvriks. Arendaja võib haavatavuse kõrvaldada, kuid see ei oma tähtsust, kui patch ei ole laialdaselt levitatud.   

Seetõttu hakkab nüüd, sõltumata sellest, kas parandamine toimub 20 või 90 päeva pärast Project Zero teavitamist arendajast, teave haavatavuse kohta avaldama alles pärast 90 päeva. Reeglites on mõned erandid. Näiteks, kui teadlased ja arendajad jõuavad kokkuleppele, võib probleemide kõrvaldamiseks aega pikendada 14 päevaga. See on võimalik, kui tarkvaraarendajatele on vaja rohkem aega patchi väljatöötamiseks. Seitsme päeva tähtaeg haavatavuste kõrvaldamiseks, mida küberkurjategijad juba kasutavad, jääb muutumatuks.

Project Zero teadlased märgivad, et nende tegevuse algusest on alustatud kvaliteedi parandamist tuvastatud haavatavuste kõrvaldamisel. Näiteks 2014. aastal, kui projekt alles algas, jäid haavatavused mõnikord lahendamata isegi kuue kuu pärast nende tuvastamist. Praegu kõrvaldatakse 97,7% tuvastatud haavatavustest arendajate poolt 90-päevase perioodi jooksul.

Allikas: 3dnews.ru