Полное раскрытие информации (компьютерная безопасность)

• Основы политики раскрытия информации

  • Уязвимости в программном обеспечении могут быть использованы для непреднамеренного поведения. 
  • Процесс передачи информации об уязвимостях третьим лицам называется политикой раскрытия информации. 

• Полное раскрытие информации

  • Полное раскрытие информации означает публикацию анализа уязвимостей как можно раньше. 
  • Цель — сделать информацию доступной для всех, чтобы повысить осведомленность жертв. 
  • Брюс Шнайер считает полное раскрытие информации хорошей идеей для повышения безопасности. 

• Дискуссия о раскрытии уязвимостей

  • Споры о публичном раскрытии информации начались в 19 веке. 
  • Существуют три основные политики раскрытия: неразглашение, скоординированное и полное раскрытие. 
  • Поставщики и хакеры blackhat предпочитают не раскрывать информацию. 

• Скоординированное раскрытие уязвимостей

  • Координированное раскрытие подразумевает сообщение об уязвимостях координирующему органу. 
  • Координирующий орган информирует поставщика и следит за исправлениями. 
  • Microsoft призывает к постепенному отказу от термина «ответственное раскрытие» в пользу «скоординированного раскрытия уязвимостей». 

• Полное раскрытие информации

  • Полное раскрытие информации предполагает публикацию информации без ограничений. 
  • Сторонники полного раскрытия считают, что преимущества перевешивают риски. 
  • Существует ряд проблем, которые может решить полное раскрытие, включая отсутствие стимулов для поставщиков и отсутствие информации для пользователей. 

• Неразглашение информации

  • Неразглашение информации подразумевает ограничение передачи информации. 
  • Коммерческие поставщики эксплойтов и исследователи, желающие использовать уязвимости, являются сторонниками неразглашения. 

• Аргументы против скоординированного раскрытия

  • Противники считают, что пользователи не могут использовать информацию без указаний поставщика. 
  • Существует риск, что неквалифицированные злоумышленники смогут использовать информацию для сложных атак. 

• Аргументы против неразглашения

  • Неразглашение используется для атаки на системы врагов или продажи информации третьим сторонам. 
  • Сторонники неразглашения не заботятся об улучшении безопасности. 

• Рекомендации

  • В статье обсуждаются различные политики раскрытия информации и аргументы за и против каждой из них.