Google немного подождет, прежде чем опубликовать подробности об уязвимости нулевого дня
Project Zero — это команда Google, которой поручено найти уязвимости и сообщить о них производителям. Это не лишено противоречий из-за того, что иногда перед патчем публикуются подробности об уязвимостях. С этой целью Project Zero добавит время к периоду раскрытия информации.
По старым правилам у поставщиков программного обеспечения было 90 дней, чтобы выпустить исправление, после того как Google сообщил поставщику об уязвимости. Независимо от того, было это или нет, уязвимость нулевого дня была раскрыта публике, часто с достаточными подробностями, чтобы злоумышленник мог использовать информацию для создания эксплойтов. В конце концов, Google добавил дополнительный льготный период, который поставщики программного обеспечения могли запросить, если патч был близок к завершению.
Недоброжелатели утверждают, что жесткие сроки подвергают общественность риску, если компания активно работает над решением, но проблема достаточно сложна, и ее нельзя решить за 90 дней. Другие отмечают, что некоторые компании могут вообще не захотеть выпускать патч без жесткого окна. Общественное давление помогает убедить поставщика программного обеспечения действовать там, где иначе нельзя.
Найти эту золотую середину — сложная часть, и Google заявляет, что внесет коррективы, чтобы решить проблемы более широкого сообщества безопасности. В 2021 году он будет ждать еще 30 дней, чтобы раскрыть подробности уязвимости, если поставщик выпустит исправление до окончания 90-дневного окна. Идея состоит в том, чтобы дать пользователям время для установки обновлений и их защиты. Однако, если поставщик запрашивает льготное окно, это съедает 30-дневное окно обновления.
Это для случая, когда Google не обнаружил уязвимость, которой уже активно злоупотребляют. Раньше, когда это происходило, Google раскрывал полную информацию в течение семи дней после уведомления. В будущем он раскроет уязвимость через семь дней, но отложит публикацию технических подробностей еще на 30 дней.
Все это относится только к 2021 году, потому что в следующем году Google планирует немного сократить все свои окна. Начиная с 2022 года Project Zero перейдет на модель «84 + 28 дюймов» — 84 дня на раскрытие информации плюс еще 28 дней на получение полной информации. Project Zero надеется, что сокращение окон будет способствовать более быстрой разработке патчей. Делимое на семь снижает вероятность того, что крайний срок выпадет на выходные, когда у поставщиков программного обеспечения обычно есть выходные.
Источник: Проект Ноль