Google Project Zero משנה גישה לחשיפת נתוני פגיעות

על פי מקורות ברשת, השנה צוות של חוקרים ב-Google Project Zero העוסקים בתחום אבטחת המידע ישנה את הכללים שלהם, לפיהם נתונים על נקודות תורפה שהתגלו הופכים ידועים לציבור.

בהתאם לכללים החדשים, מידע על נקודות התורפה שנמצאו לא יפורסם עד תום תקופת 90 הימים. ללא קשר למועד שבו המפתחים יפתרו את הבעיה, נציגי Project Zero לא יחשפו מידע על כך בפומבי. הכללים החדשים ישמשו במהלך השנה הנוכחית, ולאחר מכן יעריכו החוקרים את כדאיות היישום שלהם באופן שוטף.

בעבר, חוקרי Project Zero נתנו למפתחי תוכנה 90 יום לתקן נקודות תורפה שהתגלו. אם תיקון שגיאות שוחרר לפני מועד זה, מידע על הפגיעות הפך לזמין לציבור. החוקרים סברו שזה לא נכון מכיוון שבמקרים רבים, משתמשים צריכים למהר להתקין עדכונים כדי להימנע מלהיות קורבן של תוקפים. המפתח יכול לתקן את הפגיעות, אבל זה לא משנה אם התיקון אינו מופץ באופן נרחב.   

אז עכשיו, לא משנה אם התיקון ישוחרר 20 או 90 יום לאחר ש-Project Zero דיווח על הבעיה למפתח, מידע על הפגיעות לא יתפרסם עד 90 יום לאחר מכן. יש כמה חריגים לכללים. לדוגמה, אם החוקרים והמפתחים מגיעים להסכמה, ניתן להאריך את הזמן לתיקון הבעיה ב-14 ימים. זה אפשרי אם מפתחי תוכנה צריכים יותר זמן כדי ליצור תיקון. המועד האחרון של שבעה ימים לתיקון נקודות תורפה שכבר מנוצלות על ידי תוקפים יישאר ללא שינוי.

חוקרים מפרויקט אפס מציינים שמאז תחילת פעילותם, בוצעה עבודה טובה יותר לסילוק הפגיעויות שהתגלו. לדוגמה, ב-2014, כשהפרויקט רק הוקם, פגיעות לפעמים לא תוקנו אפילו שישה חודשים לאחר שהתגלו. נכון לעכשיו, 97,7% מהחולשות שזוהו נפתרות על ידי מפתחים בתוך תקופה של 90 יום.

מקור: 3dnews.ru