„Google“ projektas „Nulis“ suteikia techninėms įmonėms galimybę ilgiau pašalinti pažeidžiamumus

Paieškos giganto pasamdyta saugos ekspertų komanda „Google Project Zero“, ieškanti programinės įrangos nulio dienos pažeidimų, atnaujino pažeidžiamumo atskleidimo gaires.

Atnaujinta politika prideda papildomą 30 dienų langą prie kai kurių saugos klaidų informacijos. Prieš tai „Google“ tyrėjai paskelbė išsamią informaciją apie pažeidimus savo internetiniame klaidų stebėjimo įrenginyje 90 dienų lango pabaigoje arba po klaidos pataisymo.

Ilgiau pleistras

Papildomas mėnuo (apytiksliai) suteikia tiek tiekėjams, tiek vartotojams šiek tiek daugiau laiko kurti, dalytis ir įdiekite reikiamus savo programinės įrangos pleistrus, kol internete bus dalijamasi informacija apie pažeidžiamumą. Tai gera žinia, nes tuo metu, kai internete yra dalijamasi informacija apie pažeidžiamumą, užpuolikai gali juos ginkluoti.

Nors pleistrai dažniausiai buvo išleidžiami tada, kai skelbiama išsami informacija apie pažeidžiamumą, tai vis tiek priklauso nuo to, ar vartotojai patys įdiegė pataisas. Kai kuriais atvejais tai gali būti daug laiko reikalaujanti užduotis. Todėl papildomos 30 dienų „Google“ yra gera žinia.

„Mūsų 2021 m. Politikos atnaujinimo tikslas yra pataisos priėmimo laiko juostą paversti aiškia mūsų pažeidžiamumo atskleidimo politikos dalimi“, - sakė Tim Willis iš „Project Zero Vendors“. tinklaraščio straipsnis apibūdinantis pokyčius. „Pardavėjai turės 90 dienų pleistro kūrimui ir dar 30 dienų pleistro įsisavinimui“.

„Project Zero“ papildomai pratęsia papildomą 30 dienų lengvatinį laikotarpį iki nulinės dienos pažeidžiamumas kurie aktyviai išnaudojami prieš laukinės gamtos vartotojus. Nors pataisymo terminas yra tik septynios dienos, techninė informacija bus paskelbta tik praėjus 30 dienų po taisymo, kol problemą išspręs kūrėjai. Jei ne, techninė informacija bus nedelsiant paskelbta.

Išplėsta iki nulio dienos pažeidžiamumų

Šios naujos taisyklės bus taikomos 2021 m., Nors ateityje viskas gali vėl pasikeisti. Kaip pažymima tinklaraščio įraše: „Mūsų pirmenybė yra pasirinkti atspirties tašką, kurį nuosekliai gali atitikti dauguma pardavėjų, tada palaipsniui mažinti pleistro kūrimo ir pataisos priėmimo terminus“.

Tinkamas tokio pobūdžio informacijos atskleidimas yra sunkus darbas, suderinant geriausius vartotojų interesus ir suteikiant kūrėjams pakankamai laiko sukurti ir išleisti pataisą. Kaip „Project Zero“ komanda aiškiai žino, tai bus sritis, kuri ir toliau bus tobulinama vystantis kibernetinio saugumo ir lopymo priemonėms.

Tačiau kol kas jums bus sunku siūlyti, kad „Google“ saugumo ekspertai elgiasi ne taip.

Vaizdo kreditas: Mitchell Luo /Unsplash CC

„Microsoft“ pataisų antradienis pašalina „Zero-Day Exploit“ ir kitas kritines klaidas

Atnaujinkite „Windows“ sistemas, kad apsaugotumėte nuo kritinių pažeidžiamumų.

Skaitykite toliau

Apie autorių