搜索

[16685] 2021-04-18_谷歌漏洞披露政策更新，新增30天缓冲期

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2021-04-18_谷歌漏洞披露政策更新，新增30天缓冲期 谷 歌 漏 洞 披 露 政 策 更 新 ， 新 增 3 0 天 缓 冲 期 三 分 浅 土   F r e e B u f   2 0 2 1 - 0 4 - 1 8 4 月 1 7 日 ， 谷 歌 P r o j e c t   Z e r o 安 全 团 队 更 新 了 漏 洞 披 露 政 策 ， 这 次 更 新 将 会 为 用 户 新 增 这 次 更 新 将 会 为 用 户 新 增 3 0 天 时 间 来 进 行 漏 洞 修 补 天 时 间 来 进 行 漏 洞 修 补 ， 然 后 再 披 露 漏 洞 相 关 技 术 细 节 以 避 免 攻 击 者 利 用 漏 洞 进 行 攻 击 。 漏 洞 披 露 政 策 变 化 漏 洞 披 露 政 策 变 化 2 0 1 9 2 0 2 0 试 行 试 行 2 0 2 1 1 . 9 0 天 或 者 漏 洞 修 复 的 时 间 （ 研 究 人 员 可 自 行 斟 酌 ） ， 可 尽 早 发 布 1 . 9 0 天 整 ， 无 论 漏 洞 何 时 修 复 ， 提 早 公 布 需 要 双 方 同 意 1 .   9 0 天 内 ， 如 果 漏 洞 没 有 被 修 复 ， 技 术 细 节 9 0 天 后 立 即 公 布 ； 如 果 漏 洞 被 修 复 ， 修 复 后 的 3 0 天 后 再 公 布 技 术 细 节 双 方 同 意 情 况 下 ， 可 提 前 发 布 2 . 政 策 目 标 ： 更 快 地 发 布 补 丁 2 . 政 策 目 标 ： 更 快 地 发 布 补 丁 ； 发 布 更 彻 底 的 补 丁 ； 改 善 补 丁 用 户 采 用 情 况 2 .   政 策 目 的 ： 更 快 地 发 布 补 丁 ； 给 用 户 采 用 补 丁 的 适 应 时 间 ； 改 善 用 户 补 丁 采 用 情 况 3 .   对 不 完 全 修 复 程 序 的 不 一 致 处 理 。 研 究 人 员 可 以 将 此 类 问 题 作 为 单 独 的 漏 洞 归 档 或 添 加 到 现 有 报 告 中 。 3 . 不 完 全 修 复 的 详 细 信 息 将 报 告 给 厂 商 ， 并 添 加 到 现 有 报 告 （ 可 能 已 经 公 开 ） 中 ， 并 且 不 会 有 新 的 截 止 日 期 。 3 . 不 完 全 修 复 的 详 细 信 息 将 报 告 给 厂 商 ， 并 添 加 到 现 有 报 告 （ 可 能 已 经 公 开 ） 中 ， 并 且 不 会 有 新 的 截 止 日 期 。 4 . 在 宽 限 期 内 * 修 复 的 漏 洞 将 在 发 布 补 丁 后 的 某 个 时 间 公 开 。 4 . 在 宽 限 期 内 * 修 补 后 ， P r o j e c t   Z e r o 漏 洞 跟 踪 报 告 会 立 即 公 布 。 4 . 在 宽 限 期 内 修 补 后 ， 技 术 细 节 会 在 修 复 的 3 0 天 后 公 开 。 5 . 不 管 修 复 与 否 ， 截 止 日 期 （ 9 0 天 ） 到 期 后 ， P r o j e c t   Z e r o 可 自 行 公 布 漏 洞 跟 踪 报 告 。 5 .   P r o j e c t   Z e r o 漏 洞 跟 踪 报 告 将 在 第 9 0 天 （ 根 据 双 方 的 协 议 或 更 早 ） 公 布 。 5 . 如 果 9 0 天 内 没 有 修 复 漏 洞 ， 漏 洞 跟 踪 报 告 将 会 在 第 9 0 天 发 布 ， 如 果 修 补 了 漏 洞 ， 将 会 在 修 补 后 3 0 天 后 发 布 。 最 新 漏 洞 披 露 政 策 亮 点 最 新 漏 洞 披 露 政 策 亮 点 1 、 、 “ 9 0 + 3 0 ” 模 式 模 式 谷 歌   P r o j e c t   Z e r o   的 最 新 漏 洞 披 露 政 策 采 取 了 “ 9 0 + 3 0 ” 模 式 ， 即 供 应 商 有 9 0 天 时 间 进 行 补 丁 开 发 ， 另 外 还 有 3 0 天 时 间 来 进 行 补 丁 采 用 。 额 外 增 加 的   3 0   天 时 间 能 够 让 受 影 响 产 品 的 用 户 有 时 间 更 新 他 们 的 软 件 。 2 、 特 殊 漏 洞 ， 额 外 、 特 殊 漏 洞 ， 额 外 “ + 3 ” 天 天 此 前 ， P r o j e c t   Z e r o 会 给 公 司   7   个 自 然 日 的 时 间 来 修 补 任 何 被 主 动 利 用 的 漏 洞 （ 0 d a y ） ， 然 后 才 会 在 网 上 公 布 该 漏 洞 的 详 细 信 息 。
现 在 ， 0 d a y 除 了 同 样 适 用 于 3 0 天 的 缓 冲 期 外 ， 公 司 还 可 以 在 原 来 的 7 天 披 露 期 限 上 再 申 请 增 加 3 天 ， 以 便 在 一 些 特 殊 情 况 下 ， 给 公 司 更 多 的 时 间 来 创 建 补 丁 。 政 策 调 整 主 要 原 因 政 策 调 整 主 要 原 因 谷 歌 表 示 ， 此 前 曾 有 公 司 抱 怨 用 户 应 用 补 丁 时 缺 乏 足 够 的 缓 冲 时 间 ， 因 为 在 一 些 复 杂 的 企 业 网 络 中 ， 更 新 软 件 打 补 丁 需 要 几 天 或 几 周 的 时 间 。 新 更 新 的 模 式 将 打 补 丁 的 时 间 和 采 用 补 丁 的 时 间 脱 钩 ， 为 用 户 提 供 了 更 多 的 时 间 去 适 应 。 不 过 这 个 模 式 并 不 会 持 续 很 长 时 间 。 谷 歌 表 示 ， 因 为 考 虑 到 如 果 直 接 采 用 “ 6 0 + 3 0 ” 或 者 类 似 的 模 式 ， 可 能 会 太 过 突 然 和 混 乱 ， 所 以 他 们 决 定 采 用 一 个 大 多 数 厂 商 可 以 持 续 满 足 的 起 点 ， 然 后 逐 步 降 低 补 丁 开 发 和 补 丁 采 用 的 时 间 。 P r o j e c t   Z e r o 安 全 团 队 还 计 划 在 安 全 团 队 还 计 划 在 2 0 2 2 年 采 用 年 采 用 “ 8 4 + 2 8 ” 的 模 式 ， 即 能 够 让 截 止 日 期 被 的 模 式 ， 即 能 够 让 截 止 日 期 被 7 整 除 ， 从 而 降 低 截 止 日 期 在 整 除 ， 从 而 降 低 截 止 日 期 在 周 末 的 可 能 性 。 周 末 的 可 能 性 。 目 前 ， 网 络 安 全 社 区 的 很 多 人 都 采 用 P r o j e c t   Z e r o 的 规 则 来 作 为 向 软 件 供 应 商 以 及 公 众 披 露 漏 洞 的 非 官 方 方 案 。 随 着 此 次 更 新 ， 想 必 众 多 漏 洞 披 露 政 策 也 会 进 行 同 步 更 新 ， 用 户 可 以 拥 有 更 多 的 时 间 去 安 装 和 适 应 补 丁 。 精 精 彩 彩 推 推 荐 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理