Według doniesień źródeł internetowych, w tym roku zespół badaczy Google Project Zero, pracujących w dziedzinie bezpieczeństwa informacji, zmieni swoje zasady dotyczące ujawniania danych o wykrytych lukach.
Zgodnie z nowymi zasadami, informacje o znalezionych lukach nie będą ujawniane do upływu 90 dni. Niezależnie od tego, kiedy deweloperzy rozwiążą problem, przedstawiciele Project Zero nie ujawnią informacji publicznie. Nowe zasady będą stosowane przez ten rok, po czym badacze ocenią sens ich stałego wdrożenia.
W przeszłości badacze z Project Zero dawali deweloperom oprogramowania 90 dni na usunięcie wykrytych luk. Jeśli poprawka była wydawana przed końcem tego okresu, informacja o luce stawała się publiczna. Badacze uznali to za niewłaściwe, ponieważ w wielu przypadkach użytkownicy muszą się spieszyć z instalowaniem aktualizacji, aby nie stać się ofiarą przestępców. Deweloper może usunąć lukę, ale to nie ma znaczenia, jeśli poprawka nie została szeroko rozpowszechniona.
Dlatego teraz, niezależnie od tego, czy poprawka zostanie wydana po 20 czy 90 dniach od momentu, gdy Project Zero poinformuje dewelopera o problemie, informacja o luce będzie ujawniana dopiero po 90 dniach. W zasadach są pewne wyjątki. Na przykład, jeśli badacze i deweloperzy dojdą do porozumienia, czas na usunięcie problemu może być wydłużony o 14 dni. Jest to możliwe, jeśli deweloperzy oprogramowania potrzebują więcej czasu na stworzenie poprawki. Siedmiodniowy termin na usunięcie luk, które są już wykorzystywane przez przestępców, pozostanie bez zmian.
Badacze z Project Zero zauważają, że od początku ich działalności prace nad usuwaniem wykrytych luk stały się bardziej skuteczne. Na przykład w 2014 roku, gdy projekt został stworzony, luki czasami nie były usuwane nawet przez sześć miesięcy od ich wykrycia. Obecnie 97,7% wykrytych luk jest usuwanych przez deweloperów w ciągu 90 dni.
Źródło: 3dnews.ru
