搜索

[15770] 2020-08-24_要保护好自己啊，白帽子们

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-08-24_要保护好自己啊，白帽子们 要 保 护 好 自 己 啊 ， 白 帽 子 们 F r e e B u f   F r e e B u f   2 0 2 0 - 0 8 - 2 4 最 近 网 安 圈 有 白 帽 子 频 繁 以 个 人 名 义 披 露 各 家 厂 商 的 安 全 漏 洞 ， 着 实 为 各 家 厂 商 以 及 安 全 从 业 人 员 敲 响 了 警 钟 。 反 观 整 个 事 件 ， 我 们 换 个 角 度 ， 漏 洞 真 的 是 以 个 人 或 者 组 织 名 义 想 报 就 能 报 的 吗 ？ 今 天 小 编 也 借 这 个 机 会 ， 和 各 位 来 共 同 探 讨 下 这 个 问 题 。 先 抛 出 我 们 的 观 点 ， 不 管 是 个 人 还 是 组 织 ， 如 果 找 到 了 哪 家 安 全 厂 商 的 产 品 漏 洞 ， 不 论 是 从 维 护 整 个 网 络 安 全 产 业 秩 序 的 角 度 出 发 ， 还 是 从 个 人 保 护 自 己 的 角 度 出 发 ， 都 建 议 大 家 按 照 《 网 络 安 全 漏 洞 管 理 规 定 》 ， 依 法 披 露 漏 洞 。 从 维 护 整 个 网 络 安 全 产 业 秩 序 ， 共 建 和 谐 社 会 的 角 度 来 看 。 安 全 产 品 需 要 维 护 ， 不 断 更 新 和 迭 代 以 适 应 不 断 变 化 的 网 络 安 全 环 境 。 技 术 的 发 展 使 得 安 全 攻 防 随 之 升 级 ， 这 个 过 程 难 免 会 发 现 漏 洞 。 一 般 而 言 ， 厂 商 在 知 道 了 自 己 有 漏 洞 的 前 提 下 ， 一 定 会 第 一 时 间 组 织 力 量 修 复 漏 洞 ， 维 护 用 户 安 全 。 试 想 下 如 果 在 没 有 通 知 C N V D 和 厂 商 的 角 度 下 ， 私 自 暴 露 漏 洞 ， 黑 客 可 能 会 第 一 时 间 利 用 漏 洞 进 行 对 用 户 的 攻 击 ， 给 用 户 和 整 个 社 会 直 接 带 来 损 失 。 这 个 一 定 是 我 们 不 想 看 到 的 。 从 保 护 个 人 的 角 度 ， 在 未 通 知 厂 商 的 前 提 下 披 露 漏 洞 的 行 为 ， 本 身 就 已 经 违 反 了 《 网 络 安 全 漏 洞 管 理 规 定 （ 征 求 意 见 稿 ） 》 ， 笔 者 了 解 到 ， 其 实 多 部 委 一 直 在 共 同 协 商 ， 不 断 完 善 相 关 法 律 条 款 ， 管 理 这 类 行 为 。 由 于 漏 洞 披 露 导 致 了 部 分 用 户 被 黑 客 攻 击 ， 进 而 造 成 用 户 的 巨 大 损 失 ， 漏 洞 的 违 法 披 露 者 是 难 辞 其 咎 的 。 所 以 建 议 广 大 的 白 帽 还 是 要 学 会 保 护 自 己 ， 依 法 披 露 漏 洞 。 网 络 安 全 漏 洞 披 露 已 成 为 网 络 安 全 风 险 控 制 的 中 心 环 节 。 不 规 范 或 非 法 的 网 络 安 全 漏 洞 披 露 危 害 网 络 空 间 整 体 安 全 ， 凸 显 出 法 律 规 定 的 灰 色 地 带 。 同 时 ， 国 内 外 不 同 主 体 基 于 不 同 动 机 和 利 益 驱 动 ， 开 展 了 广 泛 的 网 络 安 全 漏 洞 披 露 实 践 ， 并 已 经 引 发 各 方 对 不 利 法 律 后 果 的 反 思 。 Q 1 ： 最 近 关 于 漏 洞 披 露 问 题 讨 论 很 多 ， 关 于 漏 洞 相 关 的 披 露 机 制 是 怎 样 的 ？ ： 最 近 关 于 漏 洞 披 露 问 题 讨 论 很 多 ， 关 于 漏 洞 相 关 的 披 露 机 制 是 怎 样 的 ？ A 1 ： 一 般 情 况 下 ， 当 发 现 一 个 漏 洞 之 后 ， 可 以 先 上 报 国 家 信 息 安 全 漏 洞 共 享 平 台 C N V D （ C h i n a   N a t i o n a l V u l n e r a b i l i t y   D a t a b a s e ， ） ， C N V D 通 知 厂 商 需 要 在 9 0 / 1 0 天 内 修 复 ， 厂 商 采 取 漏 洞 修 补 或 防 范 措 施 后 再 予 以 公 开 ， 这 样 能 最 大 程 度 的 保 护 用 户 的 安 全 ， 同 时 促 进 整 个 行 业 有 序 发 展 。 如 果 发 现 漏 洞 而 没 有 上 报 C N V D ， 而 是 直 接 披 露 ， 这 是 有 一 定 风 险 和 隐 患 的 。 Q 2 ： 漏 洞 披 露 有 哪 几 种 类 型 ， 原 则 是 什 么 ？ ： 漏 洞 披 露 有 哪 几 种 类 型 ， 原 则 是 什 么 ？ A 2 ： 常 见 的 披 露 类 型 主 要 有 不 披 露 、 完 全 披 露 、 负 责 任 的 披 露 和 协 同 披 露 四 种 。 漏 洞 被 发 现 后 ， 就 进 入 了 漏 洞 披 露 阶 段 。 漏 洞 发 现 者 有 可 能 不 披 露 漏 洞 ， 对 安 全 漏 洞 的 相 关 信 息 完 全 保 密 ， 既 不 报 送 给 厂 商 ， 又 不 向 公 众 公 开 这 就 是 不 披 露 。 与 此 相 反 ， 漏 洞 发 现 者 也 可 能 公 开 完 全 披 露 相 关 的 漏 洞 信 息 ， 未 事 先 对 厂 商 进 行 告 警 ， 厂 商 没 有 充 分 的 时 间 修 复 漏 洞 ， 漏 洞 信 息 也 直 接 暴 露 给 了 潜 在 的 恶 意 攻 击 者 ， 这 就 是 完 全 披 露 ， 也 被 称 作 不 负 责 任 的 披 露 。 漏 洞 发 现 者 先 报 送 漏 洞 ， 待 厂 商 修 复 漏 洞 后 ， 厂 商 再 公 告 相 关 漏 洞 信 息 并 发 布 补 丁 ， 这 就 是 负 责 人 的 披 露 。 当 然 ， 实 践 过 程 中 漏 洞 发 现 者 和 厂 商 也 可 能 存 在 争 议 。 在 负 责 任 披 露 的 基 础 上 ， 引 入 了 协 调 者 ， 协 调 者 通 常 在 各 方 利 益 相 关 者 之 间 扮 演 信 息 传 达 或 信 息 经 纪 人 的 角 色 ， 这 就 是 协 同 披 露 。 原 则 上 ， 一 般 采 用 的 是 负 责 任 的 披 露 。 协 同 披 露 强 调 漏 洞 信 息 的 共 享 ， 各 方 的 协 同 合 作 ， 更 为 有 利 于 保 护 网 络 安 全 。 Q 3 ： 漏 洞 披 露 违 规 存 在 什 么 样 的 风 险 ？ ： 漏 洞 披 露 违 规 存 在 什 么 样 的 风 险 ？ A 3 ： 首 先 是 用 户 安 全 风 险 。
违 规 披 露 漏 洞 ， 会 导 致 漏 洞 传 播 。 许 多 知 名 的 开 放 社 区 都 是 零 门 槛 的 ， 很 多 黑 客 也 埋 伏 在 其 中 ， 这 就 导 致 了 漏 洞 被 公 开 后 的 一 段 时 间 内 容 黑 客 活 动 激 增 。 在 厂 商 发 布 漏 洞 补 丁 和 用 户 更 新 之 前 ， 这 样 的 安 全 风 险 是 难 以 把 控 的 。 一 个 著 名 的 例 子 就 是 M i r a i 僵 尸 网 络 ， 该 僵 尸 网 络 在 2 0 1 6 年 攻 击 了 美 国 的 物 联 网 设 备 ， 使 美 国 多 个 城 市 的 互 联 网 瘫 痪 。 实 际 上 最 初 ， 它 是 用 于 对 T e l n e t 的 嵌 入 式 监 听 设 备 进 行 暴 力 攻 击 。 后 来 ， M i r a i 源 代 码 被 发 布 到 开 源 社 区 ， 产 生 了 模 仿 版 本 ， 用 于 对 通 过 S e c u r e S h e l l ( S S H ) 的 监 听 硬 件 进 行 暴 力 攻 击 。 直 到 今 年 ， M i r a i 变 体 仍 然 对 嵌 入 式 L i n u x 系 统 构 成 持 续 不 断 的 威 胁 。 其 次 是 法 律 风 险 。 安 全 从 业 人 员 违 规 披 露 漏 洞 ， 不 仅 破 坏 了 行 业 规 则 ， 也 给 自 己 带 来 了 法 律 风 险 。 《 中 华 人 民 共 和 国 网 络 安 全 法 》 规 定 ， 开 展 网 络 安 全 认 证 、 检 测 、 风 险 评 估 等 活 动 ， 向 社 会 发 布 系 统 漏 洞 、 计 算 机 病 毒 、 网 络 攻 击 、 网 络 侵 入 等 网 络 安 全 信 息 ， 应 当 遵 守 国 家 有 关 规 定 。 根 据 《 网 络 安 全 漏 洞 管 理 规 定 （ 征 求 意 见 稿 ） 》 的 规 定 ， 第 三 方 组 织 或 者 个 人 不 得 在 网 络 产 品 、 服 务 提 供 者 和 网 络 运 营 者 向 社 会 或 用 户 发 布 漏 洞 修 补 或 防 范 措 施 之 前 发 布 相 关 漏 洞 信 息 ， 不 得 发 布 和 提 供 专 门 用 于 利 用 网 络 产 品 、 服 务 、 系 统 漏 洞 从 事 危 害 网 络 安 全 活 动 的 方 法 、 程 序 和 工 具 。 2 0 1 7 年 ， 网 易 S R C 指 责 白 帽 子 违 反 漏 洞 测 试 原 则 ， 在 未 经 网 易 及 N S R C 授 权 的 情 况 下 ， 擅 自 公 开 披 露 漏 洞 细 节 ， 让 广 大 网 易 产 品 用 户 置 于 潜 在 的 风 险 中 ， 强 调 违 刑 必 究 。 Q 4 ： 漏 洞 披 露 者 如 何 避 免 法 律 风 险 ？ A 4 ： 需 要 遵 守 相 关 法 律 法 规 ， 按 照 规 范 化 流 程 进 行 。 一 般 是 先 上 报 C N V D ， C N V D 通 知 厂 商 在 9 0 / 1 0 天 内 修 复 ， 再 对 漏 洞 进 行 披 露 。 漏 洞 的 报 送 和 披 露 ， 国 内 基 本 形 成 国 家 安 全 漏 洞 库 ， 第 三 方 漏 洞 平 台 和 企 业 S R C 或 P S I R T 并 存 的 结 构 。 像 近 期 的 一 些 漏 洞 事 件 ， 厂 商 对 漏 洞 检 测 也 是 持 开 放 透 明 的 态 度 ， 国 内 不 少 企 业 机 构 都 对 漏 洞 发 现 者 予 以 奖 励 。 网 络 安 全 漏 洞 披 露 集 结 了 政 府 部 门 、 产 品 和 服 务 提 供 者 、 第 三 方 研 究 机 构 、 网 络 安 全 服 务 机 构 、 用 户 、 黑 客 或 “ 白 帽 子 ” 等 多 方 利 益 相 关 者 及 其 协 调 关 系 ， 所 有 利 益 相 关 者 均 应 肩 负 起 应 有 的 法 律 责 任 ， 共 同 推 动 网 络 社 会 的 有 序 运 行 。 互 联 网 空 间 始 终 不 是 法 外 之 地 ， 尤 其 是 当 我 们 进 入 万 物 互 联 时 代 ， 任 何 举 措 都 可 能 对 用 户 、 企 业 、 市 场 造 成 影 响 。 所 以 这 也 要 求 每 一 个 人 ， 遵 守 规 则 ， 尊 重 法 律 法 规 ， 共 同 维 护 网 络 空 间 的 安 全 和 谐 。 未 来 ， 我 们 也 希 望 ， 随 着 法 律 、 法 规 的 进 一 步 健 全 ， 随 着 网 络 安 全 市 场 的 成 熟 ， 代 表 网 络 正 义 的 “ 白 帽 子 ” 们 ， 也 将 发 挥 更 大 的 力 量 。 精 彩 推 荐 精 彩 推 荐

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理