Hálózati források szerint idén a Google Project Zero információbiztonsági kutatócsapata megváltoztatja a saját szabályait, amelyek szerint a felfedezett sebezhetőségekről szóló információk nyilvánosságra kerülnek.
Az új szabályok értelmében a felfedezett sebezhetőségekről szóló információt nem hozzák nyilvánosságra a 90 napos határidő lejáratáig. Függetlenül attól, hogy a fejlesztők mikor oldják meg a problémát, a Project Zero képviselői nem fogják nyilvánosságra hozni az információt. Az új szabályokat ebben az évben alkalmazzák, majd a kutatók értékelik a tartós bevezetés lehetőségét.
A múltban a Project Zero kutatói 90 napot adtak a szoftverfejlesztőknek a felfedezett sebezhetőségek javítására. Ha a hibajavítást e határidő előtt kiadták, akkor a sebezhetőségről szóló információ nyilvánossá vált. A kutatók úgy vélték, hogy ez helytelen, mivel sok esetben a felhasználóknak sietniük kell az frissítések telepítésével, hogy ne váljanak támadók áldozataivá. A fejlesztő megoldhatja a sebezhetőséget, de ez nem számít, ha a javítás nem terjedt el széles körben.
Ezért most, függetlenül attól, hogy a javítást 20 vagy 90 nappal az után adják ki, hogy a Project Zero értesítette a fejlesztőt a problémáról, a sebezhetőségről szóló információt csak 90 nap elteltével hozzák nyilvánosságra. A szabályokban van néhány kivétel. Például ha a kutatók és a fejlesztők megállapodnak, a probléma megoldására adott idő 14 nappal meghosszabbítható. Ez akkor lehetséges, ha a szoftverfejlesztőknek több időre van szükségük a patch létrehozásához. A támadók által már kihasznált sebezhetőségekre adott hét napos határidő változatlan marad.
A Project Zero kutatói megjegyzik, hogy tevékenységük kezdete óta javult a felfedezett sebezhetőségek kezelésének minősége. Például 2014-ben, amikor a projektet alapították, a sebezhetőségek néha még hat hónappal a felfedezésük után sem kerültek javításra. Jelenleg a felfedezett sebezhetőségek 97,7%-át a fejlesztők a 90 napos időkereten belül javítják.
Forrás: 3dnews.ru
