Google Project Zero muudab lähenemist haavatavuste avaldamisele

Võrgustike teated viitavad sellele, et sel aastal muudab Google Project Zero meeskond, kes tegeleb infotehnoloogilise turvalisusega, oma reegleid, mille alusel avaldatakse teave tuvastatud haavatavuste kohta.

Uute reeglite kohaselt ei avaldata teavet leidude kohta enne 90-päevase perioodi lõppu. Ükskõik millal arendajad probleemi lahendavad, ei avalda Project Zero esindajad teavet sellest avalikult. Uusi reegleid rakendatakse sellel aastal, pärast mida hindavad teadlased nende pidevat rakendamist.

Varem andmed oleme Project Zero uurijatest andnud tarkvaraarendajatele 90 päeva tuvastatud haavatavuste kõrvaldamiseks. Kui parandus, mis vigade eest vastutab, avaldati enne seda tähtaega, siis muutus teave haavatavuste kohta avalikuks. Uurijad pidasid seda ebaõigeks, kuna paljudel juhtudel peavad kasutajad kiirustama uuenduste installimisega, et mitte muutuda küberkurjategijate ohvriks. Arendaja võib haavatavuse kõrvaldada, kuid see ei oma tähendust, kui parandus ei suuda piisavalt laialdaselt levida.   

Seetõttu, sõltumata sellest, kas parandus avaldatakse 20 või 90 päeva pärast seda, kui Project Zero arendajale probleemist teatas, päevakohane teave haavatavuste kohta tehakse avalikuks ainult 90 päeva pärast. Reeglid sisaldavad mõningaid erandeid. Näiteks kui uurijad ja arendajad lepivad kokku, võib probleemi kõrvaldamise tähtaega pikendada 14 päeva võrra. See on võimalik, kui tarkvaraarendajatel on vaja rohkem aega paranduse loomise jaoks. Seitsme päeva tähtaeg haavatavuste kõrvaldamiseks, mida küberkurjategijad juba kasutavad, jääb muutumatuks.

Project Zero teadlased on märkinud, et alates oma tegevuse algusest on leitud haavatavuste kõrvaldamiseks tehtud kvaliteetsemat tööd. Näiteks 2014. aastal, kui projekt alles loodi, ei kõrvaldatud haavatavusi mõnikord isegi kuue kuu jooksul pärast nende avastamist. Praegu kõrvaldatakse 97,7% avastatud haavatavustest arendajate poolt 90 päeva jooksul.

Allikas: 3dnews.ru