Volgens berichten uit netwerkbronnen zal het Google Project Zero-team, dat zich bezighoudt met informatiebeveiliging, dit jaar zijn eigen regels wijzigen voor het openbaar maken van ontdekte kwetsbaarheden.
Volgens de nieuwe regels wordt informatie over ontdekte kwetsbaarheden pas openbaar gemaakt na een periode van 90 dagen. Ongeacht wanneer ontwikkelaars het probleem verhelpen, zullen vertegenwoordigers van Project Zero geen informatie hierover openbaar maken. De nieuwe regels zullen dit jaar worden toegepast, waarna de onderzoekers de haalbaarheid van een permanente invoering zullen evalueren.
In het verleden gaven onderzoekers van Project Zero softwareontwikkelaars 90 dagen de tijd om ontdekte kwetsbaarheden te verhelpen. Als de patch voor het oplossen van de fouten eerder werd uitgegeven dan deze termijn, werd de informatie over de kwetsbaarheid openbaar. Onderzoekers vonden dit onjuist, omdat gebruikers in veel gevallen snel updates moesten installeren om niet het slachtoffer te worden van aanvallers. Een ontwikkelaar kan een kwetsbaarheid verhelpen, maar dat telt niet als de patch niet voldoende verspreid is. Ā Ā
Daarom zal nu, ongeacht of de oplossing 20 of 90 dagen na het bericht van Project Zero aan de ontwikkelaar wordt vrijgegeven, de informatie over de kwetsbaarheid pas na 90 dagen openbaar worden gemaakt. De regels bevatten enkele uitzonderingen. Als onderzoekers en ontwikkelaars bijvoorbeeld tot een overeenkomst komen, kan de tijd voor het verhelpen van het probleem met 14 dagen worden verlengd. Dit is mogelijk als softwareontwikkelaars meer tijd nodig hebben om een patch te creƫren. De zeven dagen termijn voor kwetsbaarheden die al door aanvallers worden gebruikt, blijft ongewijzigd.
Onderzoekers van Project Zero merken op dat sinds de oprichting van hun activiteit er een betere kwaliteit is in het verhelpen van ontdekte kwetsbaarheden. In 2014, toen het project net was opgericht, werden kwetsbaarheden soms zelfs meer dan zes maanden na ontdekking niet verholpen. Momenteel wordt 97,7% van de ontdekte kwetsbaarheden door ontwikkelaars binnen een periode van 90 dagen verholpen.
Bron: 3dnews.ru
