Google Project Zero, 취약점 데이터 공개 방식 변경

온라인 소식통에 따르면, 구글의 정보 보안 연구원들로 구성된 Project Zero팀은 올해 취약점을 대중에 공개하는 방법에 대한 자체 규칙을 변경할 예정이다.

새로운 규칙에 따르면, 발견된 취약점에 대한 정보는 90일 기간이 만료되기 전까지는 공개되지 않습니다. 개발자들이 문제를 해결하더라도 Project Zero 담당자는 이에 대한 정보를 공개적으로 공개하지 않을 것입니다. 새로운 규칙은 올해부터 적용되며, 이후 연구자들은 이를 영구적으로 시행하는 것이 가능한지 평가할 예정입니다.

과거 Project Zero 연구원들은 소프트웨어 개발자에게 발견한 취약점을 수정하도록 90일의 시간을 주었습니다. 이 기한 전에 버그를 수정하는 패치가 출시되면 해당 취약점에 대한 정보가 공개되게 됩니다. 연구자들은 이는 잘못된 생각이라고 생각했습니다. 많은 경우 사용자는 공격자의 희생자가 되는 것을 피하기 위해 서둘러 업데이트를 설치해야 했기 때문입니다. 개발자는 취약점을 수정할 수 있지만, 패치가 널리 배포되지 않았다면 문제가 되지 않습니다.   

따라서 이제 Project Zero에서 개발자에게 해당 문제를 알린 후 20일이나 90일 후에 수정판이 출시되더라도 해당 취약점에 대한 정보는 90일 후에야 공개됩니다. 규칙에는 몇 가지 예외가 있습니다. 예를 들어, 연구자와 개발자가 합의에 도달하면 문제를 해결하는 데 걸리는 시간을 14일 연장할 수 있습니다. 소프트웨어 개발자가 패치를 만드는 데 더 많은 시간이 필요한 경우 이것이 가능합니다. 공격자가 이미 악용하고 있는 취약점을 수정하는 데 걸리는 XNUMX일 기한은 변경되지 않습니다.

Project Zero의 연구원들은 활동을 시작한 이래로 발견된 취약점을 제거하기 위해 보다 질적인 작업을 수행하기 시작했다고 밝혔습니다. 예를 들어, 이 프로젝트가 처음 구성된 2014년에는 취약점이 발견된 지 97,7개월이 지나도 수정되지 않는 경우도 있었습니다. 현재, 발견된 취약점의 90%가 개발자에 의해 XNUMX일 이내에 수정되었습니다.

출처 : 3dnews.ru