搜索

[14406] 2019-07-29_有关网络安全漏洞披露管理的现状分析与建议

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-07-29_有关网络安全漏洞披露管理的现状分析与建议 有 关 网 络 安 全 漏 洞 披 露 管 理 的 现 状 分 析 与 建 议 路 过 的 围 观 群 众   F r e e B u f   2 0 1 9 - 0 7 - 2 9 一 、 引 言 一 、 引 言 工 业 和 信 息 化 部 工 业 和 信 息 化 部 6 月 月 1 8 日 发 布 了 《 网 络 安 全 漏 洞 管 理 规 定 （ 征 求 意 见 稿 ） 》 （ 以 下 简 称 日 发 布 了 《 网 络 安 全 漏 洞 管 理 规 定 （ 征 求 意 见 稿 ） 》 （ 以 下 简 称 “ 意 见 稿 意 见 稿 ” ） ， 征 求 意 见 ） ， 征 求 意 见 稿 条 文 不 多 ， 共 稿 条 文 不 多 ， 共 1 2 条 ， 旨 在 通 过 系 统 地 规 范 网 络 产 品 、 服 务 和 系 统 的 安 全 漏 洞 报 告 、 收 集 、 信 息 发 布 、 验 证 、 条 ， 旨 在 通 过 系 统 地 规 范 网 络 产 品 、 服 务 和 系 统 的 安 全 漏 洞 报 告 、 收 集 、 信 息 发 布 、 验 证 、 修 补 或 防 范 等 行 为 ， 保 证 网 络 产 品 、 服 务 和 系 统 的 漏 洞 得 到 及 时 修 复 ， 加 强 网 络 安 全 漏 洞 管 理 ， 提 高 网 络 安 全 修 补 或 防 范 等 行 为 ， 保 证 网 络 产 品 、 服 务 和 系 统 的 漏 洞 得 到 及 时 修 复 ， 加 强 网 络 安 全 漏 洞 管 理 ， 提 高 网 络 安 全 防 护 水 平 。 防 护 水 平 。 图 1 ： 工 信 部 公 开 征 求 对 《 网 络 安 全 漏 洞 管 理 规 定 （ 征 求 意 见 稿 ） 》 的 意 见 1 . 1 .   安 全 社 区 对 《 网 络 安 全 漏 洞 管 理 规 定 （ 征 求 意 见 稿 ） 》 的 反 映 安 全 社 区 对 《 网 络 安 全 漏 洞 管 理 规 定 （ 征 求 意 见 稿 ） 》 的 反 映 征 求 意 见 稿 的 发 布 在 国 内 安 全 社 区 引 起 各 种 争 议 。 对 此 ， 现 腾 讯 玄 武 实 验 室 负 责 人 于 旸 认 为 ， 该 规 定 限 制 了 漏 洞 披 露 ， 而 限 制 漏 洞 披 露 ， 就 是 削 减 漏 洞 研 究 的 收 益 ， 结 果 必 然 会 影 响 漏 洞 研 究 本 身 。 图 2 ： 于 旸 新 浪 微 博 博 文 另 有 匿 名 人 士 在 微 信 公 众 号 撰 文 认 为 ， 在 厂 商 的 漏 洞 已 经 修 补 完 毕 的 情 况 下 ， 限 制 P o C 工 具 和 漏 洞 利 用 代 码 以 及 漏 洞
相 关 的 技 术 文 章 等 的 发 布 分 享 ， 必 然 限 制 漏 洞 研 究 的 发 展 ， 限 制 安 全 社 区 的 发 展 。 安 全 社 区 沉 寂 了 ， 黑 产 圈 可 以 互 相 交 换 信 息 ， 更 加 活 跃 。 [ 1 ] 此 外 ， 白 帽 汇 赵 武 也 发 微 博 提 醒 注 意 把 控 发 布 漏 洞 信 息 的 法 律 边 界 ， 称 白 帽 汇 曾 因 此 类 事 件 收 到 多 起 律 师 函 。 图 3 :   白 帽 汇 赵 武 新 浪 微 博 博 文 安 全 业 界 也 积 极 就 征 求 意 见 稿 内 容 献 言 献 策 。 7 月 3 日 ， 3 6 0 公 司 就 邀 请 了 来 自 中 国 信 息 安 全 测 评 中 心 、 国 家 互 联 网 应 急 中 心 、 国 家 工 业 信 息 安 全 发 展 研 究 中 心 、 中 国 电 子 技 术 标 准 化 研 究 院 、 清 华 大 学 、 乐 融 集 团 、 安 在 新 媒 体 、 奇 安 信 补 天 漏 洞 平 台 、 K E E N 团 队 、 知 道 创 宇 等 相 关 单 位 的 专 家 在 北 京 举 办 “ 网 络 安 全 漏 洞 管 理 闭 门 研 讨 会 ” ， 汇 集 业 界 对 《 征 求 意 见 稿 》 的 建 设 性 意 见 。 图 4 :   3 6 0 举 办 网 络 安 全 漏 洞 管 理 闭 门 研 讨 会
安 全 社 区 的 争 议 声 音 主 要 落 在 意 见 稿 的 规 定 内 容 限 制 了 合 理 的 漏 洞 信 息 发 布 ， 亦 即 限 制 漏 洞 披 露 。 而 限 制 了 合 理 的 漏 洞 披 露 ， 将 阻 碍 安 全 研 究 的 发 展 。 基 于 此 ， 本 文 将 从 目 前 常 见 的 网 络 安 全 漏 洞 披 露 类 型 、 国 内 网 络 安 全 漏 洞 报 送 和 披 露 渠 道 、 中 美 关 于 网 络 安 全 漏 洞 披 露 管 理 方 面 的 法 律 法 规 进 行 探 讨 ， 分 析 当 前 网 络 安 全 漏 洞 披 露 管 理 面 临 的 挑 战 ， 并 给 出 相 关 对 策 建 议 。 二 、 常 见 的 网 络 安 全 漏 洞 披 露 类 型 二 、 常 见 的 网 络 安 全 漏 洞 披 露 类 型 常 见 的 网 络 漏 洞 披 露 类 型 主 要 有 不 披 露 、 完 全 披 露 、 负 责 任 的 披 露 和 协 同 披 露 四 种 。 [ 2 ] 图 5 ： 常 见 漏 洞 披 露 类 型 2 . 1 .   不 披 露 和 完 全 披 露 不 披 露 和 完 全 披 露 在 实 践 中 ， 漏 洞 被 发 现 后 ， 就 进 入 了 漏 洞 披 露 阶 段 。 漏 洞 发 现 者 有 可 能 不 披 露 漏 洞 ， 对 安 全 漏 洞 的 相 关 信 息 完 全 保 密 ， 既 不 报 送 给 厂 商 ， 又 不 向 公 众 公 开 。 这 种 行 为 不 考 虑 用 户 安 全 和 权 益 以 及 厂 商 声 誉 和 权 益 ， 漏 洞 极 有 可 能 在 黑 市 交 易 ， 导 致 漏 洞 利 用 ， 引 发 网 络 安 全 危 险 ， 甚 或 引 发 漏 洞 利 用 攻 击 。 事 实 上 ， 暗 网 中 也 的 确 存 在 大 量 待 价 而 沽 的 高 风 险 安 全 漏 洞 。 与 此 相 反 ， 为 了 敦 促 厂 商 尽 快 修 复 漏 洞 ， 发 布 补 丁 ， 并 促 使 用 户 采 取 措 施 保 护 自 己 ， 漏 洞 发 现 者 也 可 能 公 开 完 全 披 露 相 关 的 漏 洞 信 息 。 完 全 披 露 漏 洞 信 息 ， 未 对 厂 商 进 行 告 警 ， 厂 商 没 有 充 分 的 时 间 修 复 漏 洞 ， 漏 洞 信 息 也 直 接 暴 露 给 了 潜 在 的 恶 意 攻 击 者 。 虽 然 完 全 披 露 漏 洞 信 息 ， 用 户 可 以 较 早 地 得 知 漏 洞 信 息 ， 但 是 绝 大 部 分 的 用 户 还 是 依 靠 厂 商 发 布 安 全 补 丁 ， 进 行 修 复 漏 洞 。 这 也 是 最 为 厂 商 诟 病 的 行 为 ， 因 为 厂 商 需 要 赶 在 漏 洞 遭 到 恶 意 利 用 之 前 开 发 并 发 布 安 全 补 丁 ， 而 这 通 常 难 以 做 到 ， 所 以 这 种 行 为 也 被 厂 商 称 为 不 负 责 任 的 披 露 。 [ 3 ] 2 . 2 .   负 责 任 的 披 露 负 责 任 的 披 露 第 三 种 披 露 类 型 是 负 责 任 的 披 露 。 漏 洞 发 现 者 首 先 与 厂 商 沟 通 ， 报 送 漏 洞 ， 漏 洞 发 现 者 与 厂 商 协 商 修 复 漏 洞 的 时 间 期 限 ， 厂 商 与 漏 洞 发 现 者 保 持 沟 通 ， 及 时 告 知 更 新 漏 洞 验 证 进 展 ， 修 复 进 展 和 完 成 修 复 的 目 标 日 期 ， 以 便 漏 洞 发 现 者 了 解 进 展 情 况 。 待 厂 商 修 复 漏 洞 后 ， 厂 商 再 公 告 相 关 漏 洞 信 息 并 发 布 补 丁 。 在 厂 商 发 布 补 丁 之 前 ， 漏 洞 发 现 者 不 向 任 何 其 他 方 披 露 。 这 种 做 法 看 似 一 种 公 平 的 协 商 方 式 ， 给 了 厂 商 一 定 的 时 间 修 复 漏 洞 ， 在 一 定 程 度 上 能 够 提 高 安 全 性 ， 保 护 用 户 。 然 而 ， 实 践 中 ， 漏 洞 发 现 者 和 厂 商 可 能 发 生 争 议 。 例 如 ， 漏 洞 发 现 者 向 厂 商 报 送 漏 洞 信 息 后 ， 厂 商 超 过 时 间 期 限 未 做 出 反 映 、 未 及 时 修 复 或 拒 绝 承 认 该 漏 洞 ， 漏 洞 发 现 者 通 常 会 选 择 公 布 相 关 漏 洞 信 息 。 比 如 ， 谷 歌 P r o j e c t   Z e r o 团 队 的 安 全 研 究 人 员 T a v i s O r m a n d y 在 今 年 6 月 1 1 日 发 推 文 公 开 了 一 个 微 软 W i n d o w s 1 0   0 d a y 漏 洞 。 微 软 承 诺 在 9 0 天 内 修 复 该 漏 洞 ， 结 果 并 没 有 ， 于 是 在 第 9 1 天 ， O r m a n d y 选 择 公 开 了 这 个 漏 洞 。
图 6 ： T a v i s O r m a n d y 的 推 特 推 文 再 比 如 ， 独 立 安 全 研 究 人 员 F i l i p p o   C a v a l l a r i n 在 今 年 5 月 底 公 开 了 利 用 A p p l e G a t e K e e p e r 绕 过 漏 洞 的 方 法 ， 而 A p p l e 尚 未 修 复 该 漏 洞 。 C a v a l l a r i n 在 2 月 2 2 日 就 负 责 任 地 向 A p p l e 报 送 了 他 的 发 现 ， 但 是 A p p l e 未 能 在 9 0 天 的 披 露 期 限 内 修 复 问 题 并 且 开 始 忽 略 他 的 邮 件 ， 所 以 C a v a l l a r i n 在 5 月 底 公 开 了 相 关 的 信 息 。 2 . 3 .   协 同 披 露 协 同 披 露 微 软 在 2 0 1 0 年 开 始 推 行 漏 洞 协 同 披 露 机 制 ， 得 到 了 美 国 C E R T / C C 、 J P C E R T / C C 、 A r C E R T 、 M I T R E 、 O p e n S e c u r i t y   F o u n d a t i o n 、 J u n i p e r N e t w o r k s 、 英 特 尔 等 机 构 和 组 织 的 响 应 。 微 软 也 极 力 号 召 业 界 使 用 该 机 制 ， 在 2 0 1 5 年 对 外 发 出 号 召 书 。 图 7 ： 微 软 提 倡 协 同 漏 洞 披 露 机 制
图 8 ： 微 软 号 召 使 用 协 同 漏 洞 披 露 机 制 随 着 安 全 漏 洞 协 同 披 露 为 更 多 的 组 织 所 支 持 和 倡 导 ， 美 国 卡 耐 基 梅 隆 大 学 软 件 工 程 研 究 所 C E R T 部 门 于 2 0 1 7 年 8 月 1 5 日 发 布 了 《 C E R T 漏 洞 协 同 披 露 指 南 》 。 协 同 披 露 建 立 在 负 责 任 的 披 露 的 基 础 上 ， 引 入 了 协 调 者 ， 协 调 者 通 常 在 各 方 利 益 相 关 者 之 间 扮 演 信 息 传 达 或 信 息 经 纪 人 的 角 色 。 除 了 选 择 向 厂 商 报 送 漏 洞 外 ， 漏 洞 发 现 者 还 可 以 将 漏 洞 信 息 报 告 给 协 调 者 ， 常 见 的 协 调 者 有 国 家 级 C E R T （ 如 美 国 C E R T 、 日 本 C E R T 、 中 国 C N N V D 和 C N V D ） 、 大 型 厂 商 的 产 品 安 全 应 急 响 应 团 队 （ P S I R T ） （ 如 微 软 、 苹 果 、 思 科 、 英 特 尔 等 大 厂 商 自 己 内 部 的 P S I R T ） 、 安 全 研 究 组 织 （ 如 政 府 机 构 和 学 术 研 究 团 队 ） 、 漏 洞 赏 金 和 商 业 中 间 平 台 （ 如 H a c k e r O n e 等 众 测 平 台 ） 、 非 政 府 性 质 的 信 息 共 享 和 分 析 组 织 和 平 台 。 协 同 披 露 重 视 各 方 之 间 共 享 漏 洞 信 息 ， 协 同 合 作 ， 有 利 于 保 护 用 户 、 社 会 和 国 家 安 全 。 这 四 种 漏 洞 披 露 类 型 ， 不 披 露 类 型 不 考 虑 厂 商 和 用 户 权 益 ， 可 能 导 致 漏 洞 在 黑 市 交 易 ， 致 使 漏 洞 遭 到 利 用 ， 引 发 网 络 安 全 风 险 ； 在 完 全 披 露 下 ， 用 户 虽 然 可 以 较 为 迅 速 地 得 知 漏 洞 信 息 ， 但 厂 商 没 有 充 足 的 时 间 修 复 漏 洞 ， 漏 洞 可 能 遭 到 潜 在 攻 击 者 的 利 益 ， 也 存 在 较 大 弊 端 ； 负 责 任 的 披 露 类 型 为 相 当 大 一 部 分 组 织 （ 如 谷 歌 ） 和 独 立 安 全 研 究 人 员 所 采 用 ， 一 定 程 度 上 能 够 提 高 安 全 性 ， 保 护 用 户 ， 存 在 积 极 的 作 用 。 但 如 果 漏 洞 发 现 者 和 厂 商 之 间 沟 通 不 畅 ， 在 未 有 修 复 方 案 之 前 ， 漏 洞 信 息 极 有 可 能 被 公 开 披 露 。 协 同 披 露 强 调 漏 洞 信 息 的 共 享 ， 各 方 的 协 同 合 作 ， 更 为 有 利 于 保 护 网 络 安 全 。 三 、 国 内 网 络 安 全 漏 洞 报 送 和 披 露 渠 道 三 、 国 内 网 络 安 全 漏 洞 报 送 和 披 露 渠 道 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 和 中 国 国 家 信 息 安 全 漏 洞 库 （ C N N V D ） 是 由 国 家 相 关 职 能 部 门 维 护 的 公 共 的 非 营 利 性 的 国 家 信 息 安 全 漏 洞 库 ， 负 责 统 一 采 集 收 录 安 全 漏 洞 和 发 布 漏 洞 预 警 公 告 。 漏 洞 发 现 者 可 以 将 相 关 漏 洞 报 送 给 C N V D 或 C N N V D 。 C N V D 鼓 励 安 全 研 究 人 员 报 送 漏 洞 。 C N V D 设 置 了 漏 洞 奖 励 计 划 ， 安 全 研 究 人 员 报 送 漏 洞 获 得 相 应 积 分 ， 可 兑 换 京 东 E 卡 。
图 9 :   C N V D 的 积 分 兑 换 对 在 漏 洞 提 交 方 面 有 杰 出 贡 献 的 安 全 研 究 人 员 ， C N V D 也 会 公 开 进 行 表 彰 ， 例 如 ， C N V D 曾 在 2 0 1 8 年 度 工 作 会 议 上 对 8 位 有 杰 出 贡 献 的 安 全 研 究 人 员 进 行 了 表 彰 。 做 为 国 家 级 的 安 全 漏 洞 库 ， C N V D 和 C N N V D 都 对 公 开 漏 洞 进 行 采 集 收 录 ， 并 对 社 会 公 布 。 第 三 方 漏 洞 平 台 是 连 接 企 业 和 安 全 研 究 人 员 之 间 的 桥 梁 。 安 全 研 究 人 员 发 现 漏 洞 后 ， 可 以 报 送 给 第 三 方 平 台 ， 获 取 一 定 的 奖 励 。 目 前 国 内 比 较 大 的 第 三 方 漏 洞 平 台 主 要 有 补 天 和 漏 洞 盒 子 。 但 是 即 使 在 漏 洞 得 到 修 补 后 ， 补 天 和 漏 洞 盒 子 也 不 会 披 露 漏 洞 的 相 关 信 息 。 这 一 点 有 别 于 国 外 H a c k e r O n e 平 台 的 做 法 。 在 取 得 漏 洞 发 现 者 和 厂 商 的 一 致 同 意 后 ， H a c k e r O n e 会 公 开 漏 洞 的 相 关 信 息 。 自 腾 讯 在 2 0 1 2 年 建 立 自 己 的 安 全 应 急 响 应 中 心 （ S R C ） 后 ， 越 来 越 多 的 企 业 也 纷 纷 自 建 安 全 应 急 响 应 中 心 ， 例 如 阿 里 巴 巴 、 百 度 、 网 易 等 互 联 网 企 业 ， 接 收 和 处 理 与 企 业 的 产 品 或 服 务 相 关 的 安 全 漏 洞 。 但 是 国 内 S R C 未 见 公 开 披 露 本 企 业 的 安 全 漏 洞 。 这 一 点 不 同 于 企 业 的 产 品 安 全 应 急 响 应 团 队 （ P S I R T ） 。 企 业 的 P S I R T 的 作 用 类 似 于 S R C ， 但 是 多 数 P S I R T ， 例 如 华 为 P S I R T ， 会 在 修 补 漏 洞 后 ， 对 社 会 公 开 相 关 漏 洞 信 息 ， 提 醒 用 户 漏 洞 风 险 ， 告 知 解 决 方 案 或 缓 解 措 施 ， 致 谢 报 送 漏 洞 的 安 全 研 究 人 员 。 图 1 0 :   华 为 P S I R T 致 谢 安 全 研 究 人 员 关 于 安 全 漏 洞 的 报 送 和 披 露 途 径 ， 国 内 目 前 已 基 本 形 成 国 家 安 全 漏 洞 库 ， 第 三 方 漏 洞 平 台 和 企 业 S R C 或 P S I R T 并 存 的 结 构 。 四 、 中 美 关 于 网 络 安 全 漏 洞 披 露 管 理 方 面 的 法 律 法 规 四 、 中 美 关 于 网 络 安 全 漏 洞 披 露 管 理 方 面 的 法 律 法 规 4 . 1 .   国 内 关 于 网 络 安 全 漏 洞 披 露 管 理 方 面 的 法 律 法 规 国 内 关 于 网 络 安 全 漏 洞 披 露 管 理 方 面 的 法 律 法 规 安 全 漏 洞 披 露 的 前 提 是 漏 洞 的 报 送 ， 而 漏 洞 报 送 的 前 提 则 是 漏 洞 挖 掘 。 漏 洞 挖 掘 涉 及 对 计 算 机 系 统 的 访 问 。 《 中 国 人
民 共 和 国 刑 法 》 第 二 百 八 十 五 条 、 第 二 百 八 十 六 条 规 定 了 非 法 侵 入 计 算 机 信 息 系 统 罪 、 非 法 获 取 计 算 机 系 统 数 据 罪 、 非 法 控 制 计 算 机 信 息 系 统 罪 、 破 坏 计 算 机 信 息 系 统 罪 。 从 2 0 1 6 年 的 袁 炜 案 可 看 出 我 国 法 律 当 前 对 漏 洞 挖 掘 ， 或 者 说 对 计 算 机 系 统 非 授 权 访 问 行 为 持 否 定 性 评 价 。 我 国 关 于 网 络 安 全 的 立 法 起 步 较 晚 ， 2 0 1 6 年 1 1 月 发 布 了 《 中 华 人 民 共 和 国 网 络 安 全 法 》 。 其 中 第 十 条 规 定 了 建 设 、 运 营 网 络 或 网 络 服 务 方 维 护 网 络 数 据 的 完 整 性 、 保 密 性 和 可 用 性 的 义 务 ； 第 二 十 二 条 和 二 十 五 规 定 网 络 产 品 、 服 务 的 提 供 者 修 复 漏 洞 ， 告 知 用 户 和 向 主 管 部 门 报 告 的 义 务 ； 第 二 十 六 条 规 定 向 社 会 发 布 漏 洞 等 网 络 安 全 信 息 应 遵 守 国 家 有 关 规 定 ； 第 二 十 七 条 规 定 个 人 和 组 织 不 得 非 法 侵 入 他 人 网 络 、 干 扰 他 人 网 络 正 常 功 能 、 窃 取 网 络 数 据 。 当 前 我 国 关 于 漏 洞 挖 掘 和 披 露 方 面 的 立 法 多 以 禁 止 性 规 定 和 责 任 性 规 定 为 主 ， 将 情 节 和 后 果 做 为 认 定 犯 罪 的 依 据 ， 且 缺 少 对 善 意 安 全 研 究 人 员 的 保 护 。 4 . 2 .   美 国 关 于 网 络 安 全 漏 洞 披 露 管 理 方 面 的 法 律 法 规 美 国 关 于 网 络 安 全 漏 洞 披 露 管 理 方 面 的 法 律 法 规 作 为 世 界 信 息 产 业 的 发 源 地 ， 美 国 的 信 息 化 水 平 一 直 处 于 世 界 领 先 地 位 ， 发 展 程 度 也 是 全 球 最 高 。 信 息 化 的 高 速 发 展 ， 伴 随 而 来 一 系 列 安 全 漏 洞 的 发 现 和 披 露 问 题 。 在 网 络 安 全 漏 洞 的 披 露 方 面 ， 美 国 也 制 定 了 各 种 法 律 并 结 合 政 策 手 段 加 以 规 范 。 2 0 0 1 年 出 台 的 《 爱 国 者 法 案 》 、 《 2 0 0 2 年 关 键 基 础 设 施 信 息 法 》 及 2 0 1 3 年 发 布 的 《 提 高 关 键 基 础 设 施 的 网 络 安 全 》 鼓 励 个 人 和 组 织 向 政 府 披 露 漏 洞 信 息 ， 以 减 少 网 络 入 侵 事 件 ， 提 高 网 络 安 全 的 信 息 共 享 并 为 用 户 营 造 可 信 赖 的 网 络 环 境 。 美 国 国 防 部 2 0 0 4 年 1 月 发 布 的 漏 洞 披 露 政 策 ， 允 许 自 由 安 全 研 究 人 员 通 过 合 法 途 径 披 露 国 防 部 公 众 系 统 存 在 的 任 何 漏 洞 。 2 0 1 7 年 7 月 ， 美 国 司 法 部 犯 罪 科 网 络 安 全 部 门 发 布 《 在 线 系 统 漏 洞 披 露 计 划 框 架 》 ， 帮 助 组 织 机 构 制 定 正 规 的 漏 洞 披 露 计 划 。 美 国 已 从 政 策 、 立 法 和 程 序 上 ， 构 建 了 国 家 层 面 统 一 的 网 络 安 全 漏 洞 披 露 协 调 和 决 策 机 制 。 上 述 法 律 法 规 的 时 间 线 如 下 图 所 示 ： 图 1 1 ： 美 国 漏 洞 披 露 相 关 法 律 法 规 时 间 线 美 国 充 分 认 识 到 善 意 的 安 全 研 究 人 员 在 关 键 信 息 系 统 的 漏 洞 发 现 方 面 的 价 值 ， 一 方 面 对 未 经 授 权 的 漏 洞 发 现 和 披 露 行 为 进 行 规 范 ， 另 一 方 面 加 大 对 善 意 的 安 全 研 究 人 员 漏 洞 发 现 和 合 法 披 露 的 保 护 。 美 国 国 防 部 2 0 1 6 年 开 始 通 过 安 全 漏 洞 披 露 平 台 H a c k e r O n e 发 起 三 大 漏 洞 奖 励 项 目 ： “ 入 侵 五 角 大 楼 （ H a c k   t h e   P e n t a g o n ） ” ， “ 入 侵 陆 军 （ H a c k t h e A r m y ） ” 和 “ 入 侵 空 军 （ H a c k t h e   A i r   F o r c e ） ” ， 允 许 善 意 安 全 研 究 人 员 在 不 触 犯 法 律 的 前 提 下 访 问 并 探 寻 政 府 系 统 。 像 H a c k e r O n e 这 样 的 安 全 众 测 平 台 ， 在 漏 洞 发 现 和 披 露 过 程 中 扮 演 着 越 来 越 重 要 的 作 用 。
图 1 2 ： 美 国 国 防 部 在 H a c k e r O n e 的 报 告 接 收 页 面 图 1 3 ： 美 国 国 防 部 在 H a c k e r O n e 上 的 三 大 漏 洞 奖 励 项 目 五 、 相 关 建 议 五 、 相 关 建 议 我 们 应 建 立 健 全 合 理 的 漏 洞 披 露 渠 道 和 机 制 ， 通 过 法 律 或 漏 洞 披 露 策 略 明 确 责 任 和 权 利 ， 帮 助 安 全 研 究 人 员 在 法 律 的 保 护 下 分 享 信 息 和 技 术 ， 才 能 有 效 促 进 安 全 社 区 的 健 康 发 展 和 安 全 技 术 的 进 步 。 同 时 ， 应 该 鼓 励 更 多 的 协 调 机 制 ， 加 强 安 全 研 究 人 员 和 厂 商 之 间 的 交 流 ， 而 不 是 简 单 直 接 向 公 众 公 开 披 露 。 安 全 漏 洞 发 布 机 制 的 健 全 与 否 对 于 修 补 漏 洞 有 着 积 极 的 意 义 ， 及 时 、 准 确 地 将 漏 洞 消 息 通 知 用 户 ， 使 用 户 了 解 自 己 的 系 统 的 缺 陷 ， 及 时 进 行 修 补 ， 提 高 系 统 的 安 全 性 ， 避 免 黑 客 攻 击 ， 对 于 企 业 、 组 织 和 团 体 乃 至 一 个 国 家 而 言 都 有 非 常 重 要 的 现 实 意 义 。 参 考 资 料 ： 参 考 资 料 ： [ 1 ]   匿 名 ， 关 于 《 网 络 安 全 漏 洞 管 理 规 定 》 的 一 些 意 见 ， 公 众 号 二 道 情 报 贩 子 ， 2 0 1 9 年 6 月 1 9 日 。 检 索 日 期 2 0 1 9 年 7 月 1 0 日 . [ 2 ]   黄 道 丽 ， 网 络 安 全 漏 洞 披 露 规 则 及 其 体 系 设 计 [ J ] .   暨 南 学 报 （ 哲 学 社 会 科 学 版 ） ， 2 0 1 8 . [ 3 ]   坏 蛋 是 我 ， 安 全 渗 透 测 试 笔 记 — — - 安 全 漏 洞 披 露 方 式 与 安 全 漏 洞 公 共 资 源 库 ， h t t p s : / / b l o g . c s d n . n e t / h e n n i _ 7 1 9 / a r t i c l e / d e t a i l s / 7 7 9 6 2 0 0 7 ， 检 索 日 期 2 0 1 9 年 7 月 1 5 日 . [ 4 ]   中 华 人 民 共 和 国 工 业 和 信 息 化 部 ， 《 网 络 安 全 漏 洞 管 理 规 定 （ 征 求 意 见 稿 ） 》 . [ 5 ]   t o m b k e e p e r ， 2 0 1 9 年 6 月 1 9 日 微 博 博 文 ，   h t t p s : / / w e i b o . c o m / 1 0 1 1 7 4 ? i s _ s e a r c h = 0 & v i s i b l e = 0 & i s _ a l l = 1 & i s _ t a g = 0 & p r o f i l e _ f t y p e = 1 & p a g e = 2 # f e e d t o p ， 检 索 日 期 2 0 1 9 年 7 月 5 日 . [ 6 ] a q n i u ， 网 络 安 全 漏 洞 管 理 闭 门 研 讨 会 召 开 ，   h t t p s : / / w w w . a q n i u . c o m / i n d u s t r y / 5 0 9 1 0 . h t m l ， 检 索 日 期 2 0 1 9 年 7 月 1 5 日 .
[ 7 ]   x p l a n e t ， G o o g l e 研 究 员 披 露 W i n d o w s 1 0   0 d a y 漏 洞 ， h t t p s : / / w w w . o s c h i n a . n e t / n e w s / 1 0 7 4 1 3 / w a r n i n g - w i n d o w s - 1 0 - 0 d a y - v u l n e r a b i l i t y - o u t e d - b y - g o o g l e - r e s e a r c h e r ， 检 索 日 期 2 0 1 9 年 7 月 5 日 . [ 8 ]   D a v e y W i n d e r ， W a r n i n g : G o o g l e   R e s e a r c h e r   D r o p s   W i n d o w s   1 0   Z e r o - d a y   S e c u r i t y B o m b ， h t t p s : / / w w w . f o r b e s . c o m / s i t e s / d a v e y w i n d e r / 2 0 1 9 / 0 6 / 1 2 / w a r n i n g - w i n d o w s - 1 0 - c r y p t o - v u l n e r a b i l i t y - o u t e d - b y - g o o g l e - r e s e a r c h e r - b e f o r e - m i c r o s o f t - c a n - f i x - i t / # 5 2 6 e 3 a 3 f 2 f d 6 ， 检 索 日 期 2 0 1 9 年 7 月 5 日 . [ 9 ] M o h i t   K u m a r ， N e w M a c   M a l w a r e   E x p l o i t s   G a t e k e e p e r   B y p a s s   B u g   t h a t   A p p l e   L e f t U n p a t c h e d ， h t t p s : / / t h e h a c k e r n e w s . c o m / 2 0 1 9 / 0 6 / m a c o s - m a l w a r e - g a t e k e e p e r . h t m l ， 检 索 日 期 2 0 1 9 年 7 月 5 日 . [ 1 0 ]   M i c r o s o f t S e c u r i t y   R e s p o n s e   C e n t e r ， M i c r o s o f t ’ s   A p p r o a c h   t o   C o o r d i n a t e d   V u l n e r a b i l i t y D i s c l o s u r e ， h t t p s : / / w w w . m i c r o s o f t . c o m / e n - u s / m s r c / c v d ? r t c = 1 ， 检 索 日 期 2 0 1 9 年 7 月 5 日 . [ 1 1 ] M S R C   E c o s y s t e m   S t r a t e g y   T e a m ， C o o r d i n a t e d   V u l n e r a b i l i t y   D i s c l o s u r e :   B r i n g i n g   B a l a n c e   t o   t h e F o r c e ， h t t p s : / / b l o g s . t e c h n e t . m i c r o s o f t . c o m / e c o s t r a t / 2 0 1 0 / 0 7 / 2 2 / c o o r d i n a t e d - v u l n e r a b i l i t y - d i s c l o s u r e - b r i n g i n g - b a l a n c e - t o - t h e - f o r c e / ， 检 索 日 期 2 0 1 9 年 7 月 5 日 . [ 1 2 ] C h r i s   B e t z ， A C a l l   f o r   B e t t e r   C o o r d i n a t e d   V u l n e r a b i l i t y D i s c l o s u r e ， h t t p s : / / b l o g s . t e c h n e t . m i c r o s o f t . c o m / m s r c / 2 0 1 5 / 0 1 / 1 1 / a - c a l l - f o r - b e t t e r - c o o r d i n a t e d - v u l n e r a b i l i t y - d i s c l o s u r e / ， 检 索 日 期 2 0 1 9 年 7 月 5 日 . [ 1 3 ]   国 家 信 息 安 全 漏 洞 共 享 平 台 召 开 2 0 1 8 年 度 工 作 会 议 ， h t t p s : / / w w w . c e r t . o r g . c n / p u b l i s h / m a i n / 1 2 / 2 0 1 8 / 2 0 1 8 1 1 2 7 1 2 2 4 5 9 0 9 9 6 9 3 3 6 4 / 2 0 1 8 1 1 2 7 1 2 2 4 5 9 0 9 9 6 9 3 3 6 4 _ . h t m l ， 检 索 日 期 2 0 1 9 年 7 月 1 5 日 . [ 1 4 ]   雷 建 平 ， 白 帽 子 提 交 世 纪 佳 缘 漏 洞 后 已 被 抓 3 个 月   拷 问 网 络 安 全 边 界 ， h t t p s : / / t e c h . s i n a . c o m . c n / z l / p o s t / d e t a i l / i / 2 0 1 6 - 0 7 - 0 6 / p i d _ 8 5 0 7 8 9 9 . h t m ， 检 索 日 期 2 0 1 9 年 7 月 1 5 日 . [ 1 5 ] C a r n e g i e   M e l l o n   U n i v e r s i t y   S o f t w a r e   E n g i n e e r i n g   I n s t i t u t e ， C E R T   G u i d e   t o   C o o r d i n a t e d   V u l n e r a b i l i t y   D i s c l o s u r e R e l e a s e d ， h t t p s : / / w w w . s e i . c m u . e d u / n e w s - e v e n t s / n e w s / a r t i c l e . c f m ? a s s e t I D = 5 0 3 3 9 8 ， 检 索 日 期 2 0 1 9 年 7 月 5 日 . [ 1 6 ] A l l e n   D .   H o u s e h o l d e r ， G a r r e t W a s s e r m a n n ， A r t   M a n i o n ， C h r i s t o p h e r K i n g ， T h e C E R T   G u i d e   t o   C o o r d i n a t e d V u l n e r a b i l i t y   D i s c l o s u r e ， h t t p s : / / r e s o u r c e s . s e i . c m u . e d u / l i b r a r y / a s s e t - v i e w . c f m ? a s s e t i d = 5 0 3 3 3 0 ， 检 索 日 期 2 0 1 9 年 7 月 5 日 . [ 1 7 ] E l a i n e _ z ， 美 国 国 防 部 “ 黑 了 空 军 （ H a c k t h e   A i r   F o r c e ） ” 漏 洞 奖 励 计 划 即 将 启 动 ， 仍 由 H a c k e r O n e 运 营 ， h t t p s : / / w w w . f r e e b u f . c o m / n e w s / 1 3 3 4 3 3 . h t m l ， 检 索 日 期 2 0 1 9 年 7 月 5 日 . [ 1 8 ]   孟 江 波 ， 张 玉 清 ， 美 国 安 全 漏 洞 发 布 机 制 分 析 研 究 ， 全 国 网 络 与 信 息 安 全 技 术 研 讨 会 ’ 2 0 0 5 [ 1 9 ]   U . S .   D e p a r t m e n t   o f   J u s t i c e ， A   F r a m e w o r k   f o r   a   V u l n e r a b i l i t y   D i s c l o s u r e   P r o g r a m   f o r   O n l i n e   S y s t e m s . * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： 偶 然 路 过 的 围 观 群 众 ， 本 文 属 于 偶 然 路 过 的 围 观 群 众 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理