De acordo com fontes da rede, este ano a equipe de pesquisadores do Google Project Zero, que atua na área de segurança da informação, mudará suas próprias regras sobre a divulgação pública de dados sobre vulnerabilidades descobertas.
Com as novas regras, as informações sobre vulnerabilidades encontradas não serão divulgadas até que decorram 90 dias. Independentemente de quando os desenvolvedores resolverem o problema, os representantes do Project Zero não divulgarão publicamente informações sobre ele. As novas regras serão aplicadas durante este ano, após o qual os pesquisadores avaliarão a viabilidade de sua implementação contínua.
No passado, os pesquisadores do Project Zero davam aos desenvolvedores de software um prazo de 90 dias para corrigir as vulnerabilidades encontradas. Se o patch que corrigia os erros era lançado antes desse prazo, as informações sobre a vulnerabilidade se tornavam públicas. Os pesquisadores consideraram que isso era errado, uma vez que, em muitos casos, os usuários precisam se apressar para instalar atualizações para não se tornarem vítimas de atacantes. O desenvolvedor pode corrigir a vulnerabilidade, mas isso não importa se o patch não tiver tempo de ser amplamente distribuído.
Portanto, agora, independentemente de o conserto ser lançado 20 ou 90 dias após o Project Zero informar ao desenvolvedor sobre o problema, as informações sobre a vulnerabilidade serão divulgadas apenas após 90 dias. As regras incluem algumas exceções. Por exemplo, se pesquisadores e desenvolvedores chegarem a um acordo, o prazo para resolver o problema pode ser estendido em 14 dias. Isso é possível se os desenvolvedores de software precisarem de mais tempo para criar um patch. O prazo de sete dias para resolver vulnerabilidades que já estão sendo exploradas por atacantes permanecerá inalterado.
Os pesquisadores do Project Zero observam que desde o início de suas atividades, o trabalho para corrigir vulnerabilidades descobertas tornou-se de maior qualidade. Por exemplo, em 2014, quando o projeto foi criado, algumas vulnerabilidades não eram corrigidas nem mesmo depois de seis meses de sua descoberta. Atualmente, 97,7% das vulnerabilidades descobertas são corrigidas pelos desenvolvedores dentro do período de 90 dias.
Fonte: 3dnews.ru
