Prema mrežnim izvorima, ove će godine tim Google Project Zero istraživača koji rade na području informacijske sigurnosti promijeniti vlastita pravila prema kojima podaci o otkrivenim propustima postaju javno poznati.
Sukladno novim pravilima, informacije o pronađenim propustima neće biti objavljene dok ne istekne rok od 90 dana. Bez obzira na to kada developeri riješe problem, predstavnici Project Zero informacije o tome neće javno iznositi. Nova pravila će se koristiti tijekom ove godine, nakon čega će istraživači procijeniti izvedivost njihove kontinuirane primjene.
U prošlosti su istraživači Project Zero davali programerima softvera 90 dana da poprave otkrivene ranjivosti. Ako je zakrpa koja ispravlja pogreške objavljena prije tog datuma, tada su informacije o ranjivosti postale javno dostupne. Istraživači su smatrali da je to netočno jer u mnogim slučajevima korisnici moraju žuriti s instaliranjem ažuriranja kako bi izbjegli da postanu žrtve napadača. Programer može popraviti ranjivost, ali to nije važno ako zakrpa nije široko distribuirana.
Dakle, sada, bez obzira na to je li popravak objavljen 20 ili 90 dana nakon što Project Zero prijavi problem razvojnom programeru, ranjivost neće biti javno objavljena do 90 dana kasnije. Postoje neke iznimke od pravila. Na primjer, ako istraživači i programeri postignu dogovor, vrijeme za rješavanje problema moglo bi se produžiti za 14 dana. To je moguće ako programerima softvera treba više vremena za izradu zakrpe. Rok od sedam dana za otklanjanje ranjivosti koje napadači već iskorištavaju ostat će nepromijenjen.
Istraživači iz Projekta Zero napominju da se od početka njihovih aktivnosti bolje radilo na otklanjanju otkrivenih ranjivosti. Primjerice, 2014. godine, kada je projekt tek nastao, ranjivosti ponekad nisu bile otklonjene ni šest mjeseci nakon što su otkrivene. Trenutačno 97,7% otkrivenih ranjivosti programeri rješavaju u roku od 90 dana.
Izvor: 3dnews.ru