سياسة الإفصاح عن الثغرات

نحن نؤمن بأن الإفصاح عن الثغرات هو طريق ذو اتجاهين. يجب على البائعين، وكذلك الباحثين، المشاركة في الإفصاح المنسق عن الثغرات. عندما تكتشف Enable Security ثغرات من خلال أبحاثها الخاصة، ستقوم بإخطار البائعين بهذه الثغرات مع مشاركة التفاصيل علنًا مع المجتمع الدفاعي بعد 90 يومًا من أول اتصال، أو في وقت أقرب إذا أصدر البائع إصلاحًا.

• ستبذل Enable Security جهودًا معقولة لإقامة اتصالات سرية مع البائع.
• بمجرد التواصل مع فريق الأمن لدى البائع، أو جهة الاتصال المعينة، ستقوم Enable Security بإبلاغ التفاصيل الكاملة للثغرة، إلى جانب رابط لهذه السياسة والموعد المخطط للإفصاح حاليًا.
• ستقدم Enable Security مساعدة معقولة للبائع في فهم أهمية الثغرة المكتشفة.
• إذا لم يعترف البائع باتصالنا الأولي خلال 7 أيام، فسيتم بذل محاولات إضافية عبر قنوات مختلفة لإنشاء جهة الاتصال الصحيحة داخل مؤسسة البائع.
• إذا لم يتم تلقي أي اعتراف من البائع بعد 30 يومًا من الاتصال الأولي، فسيتم إجراء اتصال نهائي لإبلاغه بالإفصاح الكامل خلال 30 يومًا.
• بعد 30 يومًا إضافية، ليصبح المجموع 90 يومًا من الإفصاح الأولي، ستنشر Enable Security الثغرة.

يمكن أن يتغير الموعد النهائي البالغ 90 يومًا بالطرق التالية:

• إذا كان الموعد النهائي سينتهي في عطلة نهاية الأسبوع أو عطلة رسمية أمريكية/ألمانية، فسيتم نقل الموعد النهائي إلى يوم العمل العادي التالي.
• قبل انتهاء الموعد النهائي البالغ 90 يومًا، إذا أخبرنا البائع أن التصحيح مقرر إصداره في يوم محدد يقع ضمن 14 يومًا تلي الموعد النهائي، فسنؤجل الإفصاح العام حتى توفر التصحيح. إذا تم تأجيل التصحيح مرة أخرى بعد فترة السماح البالغة 14 يومًا، فإننا نحتفظ بالحق في نشر الثغرة.
• عندما نلاحظ ثغرة غير معروفة سابقًا وغير مصححة في برنامج يتم استغلاله بنشاط ("0day")، فإننا نعتقد أن الإجراء الأكثر إلحاحًا — خلال 7 أيام — مناسب. سبب هذا التصنيف الخاص هو أنه في كل يوم تظل فيه ثغرة مستغلة بنشاط غير معلنة للجمهور وغير مصححة، سيتم اختراق المزيد من الأجهزة أو الحسابات. سبعة أيام جدول زمني قوي وقد يكون قصيرًا جدًا لبعض البائعين لتحديث منتجاتهم، لكنه يجب أن يكون وقتًا كافيًا لنشر نصائح حول التخفيفات المحتملة، مثل تعطيل خدمة مؤقتًا، أو تقييد الوصول، أو الاتصال بالبائع لمزيد من المعلومات. نتيجة لذلك، بعد مرور 7 أيام دون تصحيح أو نشرة استشارية، سندعم الباحثين في جعل التفاصيل متاحة حتى يتمكن المستخدمون من اتخاذ خطوات لحماية أنفسهم.

كما هو الحال دائمًا، نحتفظ بالحق في تقديم أو تأخير المواعيد النهائية بناءً على الظروف القصوى. ونظل ملتزمين بمعاملة جميع البائعين بمساواة صارمة. تتوقع Enable Security أن تُعامل بنفس المعيار.

هذه السياسة، المستندة إلى سياسة Google، تتماشى بشدة مع رغبتنا في تحسين أوقات استجابة الصناعة لثغرات الأمان، ولكنها تؤدي أيضًا إلى هبوط أكثر ليونة للثغرات التي تتجاوز الموعد النهائي بشكل طفيف.

لأحدث الأخبار والأبحاث والتطورات من Enable Security حول الأمان والبحث والمشاريع، قم بزيارة مدونتنا.