Los promotores del borrador de RFC «Responsible disclosure of security
vulnerabilities» del IETF lo han retirado por considerarlo demasiado
político y alejado de los protocolos técnicos, ámbito principal del
IETF.
El documento pretendía definir unas normas de conducta homogéneas en
cuanto a la manera de advertir a los fabricantes sobre vulnerabilidades
en sus productos, tanto software como hardware. La propuesta ha tenido
una gestación muy difícil, dados los intereses contrapuestos entre los
miembros de la comunidad que creen que cuanto antes se conozca un
problema antes se podrá solucionar, y la industria que desea que sus
errores sean lo menos conocidos y publicitados posible.
Entre otras secciones conflictivas, la propuesta pedía a las partes que
no difundiesen información sobre vulnerabilidades, ni mucho menos código
que permitiese explotarlas (comúnmente conocido como «exploits»). En la
práctica ello supone que los usuarios finales y la comunidad de
seguridad no tendrían ni el conocimiento del problema, ni los medios
para verificarlo o, llegado el caso, comprobar que el parche publicado
por el fabricante lo soluciona adecuadamente.
Según numerosos expertos, el documento propuesto apunta ideas
interesante, muchas de ellas necesarias, pero realiza demasiadas
«sugerencias» y fija pocos «requisitos», lo que hace factible que un
fabricante, por ejemplo, retrase los detalles de una vulnerabilidad en
su software de forma indefinida, con los riesgos evidentes que ello
supone para sus usuarios.
Existen varios código éticos para la comunicación de vulnerabilidades
informáticas, evidentemente todos ellos de cumplimiento voluntario y
puramente orientativos. En la recopilación de enlaces, al final de este
texto, se muestran varios ejemplos.
A principios de Abril, Hispasec, a través de una al día, publicó un
interesante comentario titulado ‘La trastienda del «full disclosure»‘,
que resumen bastante acertadamente las diferentes opciones a valorar
en el mundo de la seguridad informática. El boletín está más de
actualidad que nunca con el anuncio de la retirada de este borrador.
jcea@hispasec.com
Más información:
Information Anarchy? One Simple Solution
http://www.infosecnews.com/opinion/2002/02/27_02.htm
Setback for security through obscurity scheme
http://www.theregister.co.uk/content/55/24482.html
Security-flaw guidelines hit pothole
http://news.com.com/2100-1001-862994.html?tag=cd_mh
Security Through Obscurity Considered Dangerous
http://www.ietf.org/internet-drafts/draft-ymbk-obscurity-00.txt
04/04/2002 – La trastienda del «full disclosure»
http://www.hispasec.com/unaaldia.asp?id=1257
Full Disclosure Policy (RFPolicy) v2.0
http://www.wiretrip.net/rfp/policy.html
Full Disclosure
http://rr.sans.org/hackers/disclosure.php
The CERT/CC Vulnerability Disclosure Policy
http://www.kb.cert.org/vuls/html/disclosure
Deja un comentario