Richtlinie zur Offenlegung von Schwachstellen

Wir glauben, dass die Offenlegung von Schwachstellen ein Geben und Nehmen ist. Hersteller sowie Forscher müssen an einer koordinierten Offenlegung von Schwachstellen teilnehmen. Wenn Enable Security im Rahmen eigener Forschung Schwachstellen entdeckt, benachrichtigt es die Hersteller über diese Schwachstellen und teilt die Details nach 90 Tagen ab dem ersten Kontakt öffentlich mit der defensiven Community – oder früher, wenn der Hersteller einen Fix veröffentlicht.

• Enable Security wird angemessene Anstrengungen unternehmen, um vertrauliche Kommunikation mit dem Hersteller aufzubauen.
• Sobald der Kontakt zum Sicherheitsteam des Herstellers oder zum benannten Ansprechpartner hergestellt wurde, übermittelt Enable Security die vollständigen Details der Schwachstelle zusammen mit einem Link zu dieser Richtlinie und dem aktuell geplanten Offenlegungstermin.
• Enable Security wird dem Hersteller angemessene Unterstützung beim Verständnis der Bedeutung der entdeckten Schwachstelle bieten.
• Wenn der Hersteller unseren ersten Kontakt nicht innerhalb von 7 Tagen bestätigt, werden weitere Versuche über verschiedene Kanäle unternommen, um den richtigen Ansprechpartner in der Organisation des Herstellers zu erreichen.
• Wenn nach 30 Tagen ab dem ersten Kontakt keine Bestätigung vom Hersteller eingeht, wird ein letzter Kontakt aufgenommen, der die vollständige Offenlegung in 30 Tagen ankündigt.
• Nach weiteren 30 Tagen – also 90 Tage nach der ersten Meldung – veröffentlicht Enable Security die Schwachstelle.

Die 90-Tage-Frist kann in folgenden Fällen variieren:

• Wenn eine Frist an einem Wochenende oder einem US-amerikanischen oder deutschen Feiertag abläuft, wird die Frist auf den nächsten regulären Arbeitstag verschoben.
• Wenn ein Hersteller uns vor Ablauf der 90-Tage-Frist mitteilt, dass ein Patch für einen bestimmten Tag geplant ist, der innerhalb von 14 Tagen nach der Frist liegt, verschieben wir die öffentliche Offenlegung bis zur Verfügbarkeit des Patches. Wenn sich der Patch erneut über die 14-tägige Gnadenfrist hinaus verzögert, behalten wir uns das Recht vor, die Schwachstelle zu veröffentlichen.
• Wenn wir eine bisher unbekannte und ungepatchte Schwachstelle in Software beobachten, die aktiv ausgenutzt wird (ein „0day“), halten wir ein dringlicheres Vorgehen – innerhalb von 7 Tagen – für angemessen. Der Grund für diese besondere Einstufung ist, dass mit jedem Tag, an dem eine aktiv ausgenutzte Schwachstelle weder öffentlich offengelegt noch gepatcht ist, mehr Geräte oder Konten kompromittiert werden. Sieben Tage sind ein aggressiver Zeitrahmen und für einige Hersteller möglicherweise zu kurz, um ihre Produkte zu aktualisieren, aber es sollte genügend Zeit sein, um Empfehlungen zu möglichen Gegenmaßnahmen zu veröffentlichen, wie z. B. das vorübergehende Deaktivieren eines Dienstes, das Einschränken des Zugriffs oder die Kontaktaufnahme mit dem Hersteller für weitere Informationen. Wenn nach 7 Tagen weder ein Patch noch ein Sicherheitshinweis vorliegt, unterstützen wir Forscher dabei, Details verfügbar zu machen, damit Nutzer Maßnahmen zu ihrem eigenen Schutz ergreifen können.

Wie immer behalten wir uns das Recht vor, Fristen bei extremen Umständen vorzuziehen oder zu verschieben. Wir bleiben dem Grundsatz verpflichtet, alle Hersteller strikt gleich zu behandeln. Enable Security erwartet, an demselben Maßstab gemessen zu werden.

Diese Richtlinie, die auf Googles basiert, steht in starkem Einklang mit unserem Wunsch, die Reaktionszeiten der Branche auf Sicherheitsfehler zu verbessern, führt aber auch zu sanfteren Landungen für Fehler, die die Frist nur geringfügig überschreiten.

Für die neuesten Nachrichten, Forschungsergebnisse und Entwicklungen von Enable Security zu Sicherheit, Forschung und Projekten besuchen Sie unseren Blog.