搜索

[4544] 2017-11-17_美国出台VEP政策——漏洞使用开始标准化？

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2017-11-17_美国出台VEP政策——漏洞使用开始标准化？ 美 国 出 台 V E P 政 策 — — 漏 洞 使 用 开 始 标 准 化 ？ 原 创   E 小 编   E 安 全   2 0 1 7 - 1 1 - 1 7 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 1 月 1 7 日 讯   美 国 白 宫 于 本 周 三 发 布 一 份 章 程 ， 表 示 将 为 安 全 漏 洞 公 平 裁 决 程 序 （ V u l n e r a b i l i t i e s   E q u i t i e s   P r o c e s s ， V E P ） 带 来 更 理 想 的 明 确 性 与 透 明 度 。 V E P 为 美 国 政 府 在 向 技 术 企 业 隐 瞒 或 披 露 软 件 中 所 发 现 的 安 全 漏 洞 时 ， 所 采 取 的 相 关 信 息 管 理 机 制 。 章 程 旨 在 为 章 程 旨 在 为 V E P 引 入 更 多 透 明 度 与 规 则 引 入 更 多 透 明 度 与 规 则 这 份 章 程 列 出 了 美 国 政 府 在 决 定 是 否 秘 密 保 留 零 日 漏 洞 这 类 特 定 安 全 漏 洞 相 关 信 息 时 ， 所 应 考 虑 到 的 核 心 影 响 因 素 — — 包 括 利 用 其 进 行 秘 密 间 谍 活 动 ， 或 决 定 向 相 关 软 件 开 发 商 公 开 以 确 保 软 件 得 到 补 丁 修 复 。 该 章 程 指 出 ， “ 安 全 漏 洞 管 理 需 要 得 到 高 度 重 视 ， 从 而 保 护 民 众 、 捍 卫 关 键 信 息 基 础 设 施 并 维 护 重 要 的 商 业 与 国 家 安 全 利 益 。 新 的 V E P 章 程 将 以 一 种 可 重 复 且 可 讨 论 的 方 式 平 衡 相 关 利 益 ， 确 保 我 们 在 执 行 这 一 重 要 任 务 时 ， 加 强 美 国 民 众 对 政 府 问 题 解 决 能 力 的 信 心 。 ” 推 荐 立 法 推 荐 立 法 尽 管 本 章 程 旨 在 为 V E P 引 入 更 多 透 明 度 与 规 则 性 ， 但 至 少 已 经 有 一 位 国 会 批 评 人 士 表 示 ， 有 必 要 将 这 一 进 程 纳 入 立 法 范 畴 。 威 斯 康 星 州 共 和 党 人 R o n   J o h n s o n （ 罗 恩 · 约 翰 逊 ） 议 员 采 访 时 表 示 ， “ 这 方 面 工 作 一 直 在 行 政 层 面 进 行 处 理 ， 但 我 认 为 将 其 纳 入 法 规 将 更 有 帮 助 。 ” 在 今 年 5 月 ， J o h n s o n 曾 与 夏 威 夷 州 民 主 党 人 B r i a n   S c h a t z （ 布 莱 恩 · 沙 茨 ） 议 员 一 同 提 出 P A T C H 法 案 ， 希 望 为 V E P 提 供 法 律 基 础 。
V E P 公 平 裁 决 程 序 详 细 说 明 公 平 裁 决 程 序 详 细 说 明 白 宫 网 络 安 全 协 调 员 R o b   J o y c e （ 罗 伯 · 乔 伊 斯 ） 在 本 周 三 在 阿 斯 本 研 究 院 召 开 的 一 轮 会 议 中 ， 对 特 朗 普 自 今 年 1 月 就 任 美 国 总 统 以 来 该 公 平 裁 决 程 序 的 发 展 情 况 作 出 了 更 为 深 入 的 说 明 。 J o y c e 指 出 ， 这 份 耗 时 数 月 敲 定 的 章 程 在 草 拟 过 程 中 经 过 了 “ 复 杂 的 对 话 ” 。 J o y c e 解 释 称 ， 在 此 之 前 ， 机 构 之 间 的 讨 论 信 息 “ 被 剥 夺 了 行 政 权 利 ” ， 即 “ 关 于 进 入 决 策 流 程 的 具 体 细 节 ” 并 没 有 被 提 供 给 需 要 的 各 讨 论 参 与 方 。 例 外 要 求 ： 例 外 要 求 ： 这 份 章 程 还 将 涵 盖 政 府 方 面 从 私 营 部 门 雇 用 黑 客 人 士 以 解 决 零 日 漏 洞 的 问 题 这 份 章 程 还 将 涵 盖 政 府 方 面 从 私 营 部 门 雇 用 黑 客 人 士 以 解 决 零 日 漏 洞 的 问 题 。 J o y c e 解 释 称 ， “ 他 们 也 将 加 入 V E P 中 。 ” 当 各 政 府 机 构 以 “ 非 排 他 性 ” 方 式 购 买 这 些 零 日 漏 洞 信 息 时 ， 意 味 着 其 需 要 遵 循 合 同 条 款 而 不 能 合 法 地 进 行 信 息 披 露 — — “ 需 要 告 知 每 位 V E P 成 员 这 一 例 外 要 求 … … 并 将 所 有 细 节 信 息 提 供 给 白 宫 网 络 安 全 协 调 员 。 ” J o y c e 指 出 ， “ 这 样 我 们 将 得 到 一 套 在 现 有 系 统 中 从 未 出 现 过 的 框 架 与 一 系 列 洞 察 结 论 ” ， 意 味 着 各 政 府 机 构 将 能 够 直 接 表 达 无 法 披 露 安 全 漏 洞 信 息 的 具 体 原 因 。 他 补 充 称 ， 在 这 份 新 章 程 内 ， “ 不 鼓 励 各 部 门 与 机 构 使 用 此 类 合 同 ， 而 应 实 现 与 各 商 业 实 体 间 合 作 关 系 的 结 构 化 转 型 ， 以 例 在 购 买 相 关 信 息 后 ， 根 据 实 际 需 求 选 择 是 否 进 行 披 露 。 ” 外 交 公 布 问 题 外 交 公 布 问 题 这 份 新 章 程 还 考 虑 到 了 “ 外 交 公 布 ” 问 题 ， 其 中 主 要 涵 盖 国 外 产 品 中 的 安 全 漏 洞 ， 以 及 联 合 情 报 机 构 可 能 对 美 国 政 府 所 披 露 的 安 全 漏 洞 信 息 的 使 用 。 “ 如 果 我 们 此 前 曾 与 其 它 国 家 分 享 相 关 情 报 ， 并 最 终 选 择 披 露 这 一 情 报 ， 则 其 最 终 可 能 对 我 们 自 身 的 情 报 能 力 产 生 影 响 。 ” 他 强 调 称 ， 美 国 目 前 正 在 与 其 最 亲 密 的 合 作 盟 友 — — 五 眼 联 盟 — — 进 行 情 报 共 享 ， 而 此 次 的 改 革 进 程 也 应 被 引 入 五 眼 联 盟 体 系 ， 从 而 推 广 其 在 国 际 关 系 中 的 影 响 力 。 V E P 需 要 考 虑 的 四 项 因 素 需 要 考 虑 的 四 项 因 素 作 为 提 升 透 明 度 举 措 的 组 成 部 分 ， 该 章 程 还 列 出 了 V E P 在 讨 论 当 中 需 要 考 虑 的 四 项 因 素 ： 威 胁 因 素 ： 威 胁 因 素 ： 例 如 漏 洞 产 品 的 具 体 使 用 广 泛 度 ， 以 及 是 否 存 在 于 关 键 行 业 或 企 业 当 中 。 影 响 力 因 素 ： 影 响 力 因 素 ： 例 如 用 户 对 产 品 安 全 性 的 依 赖 程 度 ， 安 全 漏 洞 的 严 重 程 度 以 及 不 良 行 为 者 对 其 加 以 利 用 可 能 引 发 的 后 果 等 。 另 一 个 问 题 在 于 ， 是 否 存 在 足 够 的 已 安 装 补 丁 用 户 ， 用 以 抵 消 攻 击 者 利 用 相 关 安 全 漏 洞 所 造 成 的 危 害 — — 这 类 危 害 通 常 可 通 过 对 修 复 补 丁 进 行 逆 向 工 程 实 现 。 缓 解 因 素 ： 缓 解 因 素 ： 例 如 是 否 有 方 法 通 过 配 置 消 除 软 件 漏 洞 — — 特 别 是 如 果 此 类 机 制 已 经 成 为 现 有 最 佳 实 践 指 导 方 针 中 的 一 部 分 。 其 中 包 括 考 虑 开 发 商 是 否 有 可 能 对 安 全 漏 洞 进 行 实 际 修 复 。 安 安 全 漏 洞 因 素 ： 全 漏 洞 因 素 ： 例 如 “ 威 胁 行 为 者 必 须 具 备 怎 样 的 访 问 权 才 能 使 用 此 项 漏 洞 ？ ” 以 及 “ 威 胁 行 为 者 发 现 或 获 取 漏 洞 知 识 的 可 能 性 有 多 大 ？ ” 重 新 发 现 率 重 新 发 现 率
最 后 一 点 涉 及 到 网 络 安 全 领 域 的 一 场 巨 大 争 论 ， 即 重 新 发 现 — — 是 指 其 他 人 发 现 并 秘 密 保 留 此 类 漏 洞 的 可 能 性 。 重 新 发 现 状 况 非 常 重 要 ， 因 为 如 果 美 国 政 府 没 有 公 布 漏 洞 信 息 ， 其 可 能 无 法 得 到 有 效 修 复 ， 并 最 终 被 其 他 独 立 发 现 者 所 利 用 。 不 同 的 研 究 对 重 新 发 现 率 有 着 不 同 的 结 论 ， 但 J o y c e 表 示 ， 根 据 美 国 情 报 部 门 的 调 查 ， 这 一 比 例 其 实 很 低 ， 他 认 为 所 使 用 的 各 类 安 全 漏 洞 … … 很 少 被 他 人 所 重 新 发 现 。 V E P 裁 决 程 序 参 与 机 构 裁 决 程 序 参 与 机 构 根 据 此 项 章 程 ， 以 下 1 5 个 联 邦 政 府 实 体 在 V E P 中 拥 有 席 位 ： 国 土 安 全 部 （ D H S ） ， 特 别 是 国 家 网 络 安 全 与 通 信 集 成 中 心 美 国 联 邦 特 勤 局 （ U S S S ） 国 家 情 报 总 监 办 公 室 （ O D N I ） 财 政 部 （ D O T ） 国 务 院 （ D O S ） 司 法 部 （ D O J ） 联 邦 调 查 局 国 家 网 络 调 查 联 合 特 遣 队 （ N C I J T F ） 能 源 部 （ D O E ） 白 宫 行 政 管 理 和 预 算 办 公 室 （ O M B ） 国 防 部 （ D O D ） ， 特 别 是 美 国 网 络 司 令 部 （ U S C Y B E R C O M ） 与 网 络 犯 罪 中 心 （ C 3 ） 国 家 安 全 局 （ N S A ）
商 务 部 （ D O C ） 中 央 情 报 局 （ C I A ） J o y c e 表 示 ， 面 对 以 上 各 项 因 素 要 求 ， 各 参 与 方 可 能 “ 有 些 不 高 兴 ” ， 但 “ 给 予 担 当 ” 是 非 常 必 要 的 ， 因 为 当 前 社 会 中 的 各 个 层 面 都 已 经 “ 与 I T 交 织 在 了 一 起 ” 。 他 解 释 称 ， 美 国 政 府 运 行 在 I T 基 础 上 ， 利 用 计 算 机 支 持 军 事 行 动 ， 并 且 信 任 银 行 业 、 相 信 由 计 算 机 控 制 的 电 网 体 系 。 如 果 存 在 缺 陷 ， 就 必 须 修 复 相 关 漏 洞 ， 以 确 保 其 免 受 利 用 、 保 障 自 身 福 祉 以 及 财 务 状 况 。 另 一 方 面 ， 美 国 还 需 要 借 此 获 取 国 外 情 报 。 ” 过 去 几 个 月 以 来 ， 该 漏 洞 公 平 裁 决 程 序 V E P 受 到 了 信 息 安 全 社 区 中 批 评 人 士 的 指 责 ， 其 表 示 美 国 政 府 为 了 保 留 战 略 情 报 优 势 而 囤 积 零 日 漏 洞 ， 且 没 有 向 各 企 业 提 醒 这 些 安 全 漏 洞 的 存 在 。 J o y c e 对 这 种 作 法 予 以 驳 斥 ， 表 示 所 谓 囤 积 概 念 “ 并 不 存 在 ” ， 美 国 政 府 与 各 软 件 企 业 之 间 的 沟 通 “ 非 常 良 好 ” 。 各 软 件 企 业 也 没 有 得 到 来 自 俄 罗 斯 、 中 国 、 伊 朗 以 及 朝 鲜 的 安 全 漏 洞 信 息 提 醒 。 V E P 虽 然 有 效 、 务 实 ， 但 仍 存 在 问 题 虽 然 有 效 、 务 实 ， 但 仍 存 在 问 题 一 一 .   受 受 保 密 协 议 保 密 协 议 等 的 限 制 等 的 限 制 V E P 指 出 ， 美 国 政 府 决 定 披 露 或 限 制 漏 洞 信 息 可 能 受 制 于 外 国 或 私 有 部 门 合 伙 伙 伴 提 出 的 限 制 条 件 ， 例 如 保 密 协 议 （ N o n - d i s c l o s u r e   a g r e e m e n t ， 简 称 N D A ） 、 理 解 备 忘 录 或 其 它 限 制 美 国 政 府 披 露 漏 洞 信 息 的 限 制 条 件 。 虽 然 可 能 存 在 法 律 或 其 它 限 制 条 件 ， 但 此 项 规 定 潜 在 允 许 组 织 机 构 通 过 N D A 阻 止 披 露 ， 企 图 出 售 安 全 漏 洞 细 节 。 二 二 .   缺 乏 漏 洞 风 险 评 级 缺 乏 漏 洞 风 险 评 级 软 件 漏 洞 通 常 会 根 据 潜 在 危 险 性 进 行 评 级 。 例 如 ， 微 软 设 置 了 4 个 风 险 等 级 ： 低 危 （ L o w ） 、 中 危 （ M o d e r a t e ） 、 重 要 （ I m p o r t a n t ） 和 严 重 （ C r i t i c a l ） 。 这 对 系 统 管 理 员 而 言 大 有 裨 益 ， 这 样 便 于 他 们 按 照 轻 重 缓 急 进 行 处 理 。 评 级 系 统 还 有 助 于 评 估 披 露 的 漏 洞 细 节 和 数 量 。 比 如 ， 1 0 0 个 低 危 漏 洞 不 及 一 个 严 重 漏 洞 更 值 得 重 视 ， 因 为 严 重 漏 洞 带 来 的 风 险 更 大 。 然 而 ， V E P 政 策 中 却 未 提 及 漏 洞 评 级 。 这 样 一 来 ， 其 它 人 将 必 须 评 估 漏 洞 的 严 重 程 度 ， 似 乎 造 成 了 不 必 要 的 延 迟 。 缺 乏 风
险 评 级 将 难 以 评 估 V E P 政 策 的 实 际 效 果 ： N S A 可 能 会 公 开 披 露 可 能 会 公 开 披 露 9 9 9 个 低 危 和 中 危 漏 洞 ， 但 却 手 握 个 低 危 和 中 危 漏 洞 ， 但 却 手 握 5 个 严 重 的 漏 洞 而 不 披 个 严 重 的 漏 洞 而 不 披 露 。 露 。 然 而 ， 若 设 置 了 风 险 评 级 ， 就 能 将 美 国 政 府 披 露 的 漏 洞 与 商 业 实 体 进 行 对 比 ， 能 大 致 推 测 美 国 政 府 未 披 露 的 0 D a y 漏 洞 数 量 。 据 推 测 ， 这 或 许 也 是 美 国 政 府 未 在 V E P 政 策 设 置 风 险 评 级 的 原 因 所 在 。 三 三 .     N S A 享 受 特 别 待 遇 享 受 特 别 待 遇 作 为 V E P 执 行 秘 书 处 ， N S A 将 负 责 协 调 所 有 事 宜 ， 包 括 控 制 影 响 内 部 设 备 的 事 宜 。 V E P 指 出 ， 尽 快 将 在 政 府 现 成 设 备 或 系 统 （ N S A 认 可 ） 、 硬 / 软 件 加 密 功 能 （ 无 论 N S A 认 可 或 批 准 与 否 ） 中 发 现 的 漏 洞 报 告 给 N S A 。 N S A 将 承 担 起 相 关 责 任 ， 并 以 V E P 执 行 秘 书 处 的 身 份 正 式 提 交 。 然 而 ， N S A 并 不 能 完 全 控 制 这 个 过 程 。 N S A 员 工 将 负 责 运 营 V E P 执 行 秘 书 处 ， 但 是 会 受 美 国 国 防 部 长 的 指 示 和 控 制 。 从 理 论 上 讲 ， 国 防 部 长 能 在 N S A 负 责 人 许 可 的 情 况 下 ， 替 换 N S A 员 工 ， 指 定 其 它 机 构 执 行 这 项 工 作 。 四 四 .     多 个 备 选 项 会 留 下 多 个 备 选 项 会 留 下 “ 钻 空 子 钻 空 子 ” 的 余 地 的 余 地 即 使 披 露 漏 洞 是 作 为 默 认 方 案 提 出 来 的 ， 但 V E P 提 供 了 除 公 开 披 露 以 外 的 大 量 其 它 选 择 。 这 项 政 策 提 出 ， 美 国 政 府 决 定 披 露 或 保 留 漏 洞 只 是 V E P 的 其 中 一 个 要 素 ， 但 却 不 只 有 这 两 种 做 法 可 供 选 择 。 可 考 虑 的 其 它 做 法 包 括 : 向 某 些 实 体 披 露 漏 洞 缓 解 信 息 ， 而 不 披 露 特 定 漏 洞 ； 限 制 美 国 政 府 以 某 种 方 式 使 用 漏 洞 ； 通 过 保 密 的 方 式 向 美 国 及 盟 国 政 府 报 告 漏 洞 ； 以 及 通 过 间 接 的 方 式 向 厂 商 通 知 漏 洞 。 V E P 还 指 出 ， 做 所 有 这 些 决 定 都 必 须 理 解 漏 洞 披 露 风 险 ， 考 虑 政 府 使 用 漏 洞 的 潜 在 利 益 ， 并 权 衡 所 有 选 择 的 风 险 和 利 益 。 然 而 ， 对 于 N S A 工 作 人 员 而 言 ， 这 里 存 在 着 很 大 的 回 旋 余 地 。 政 策 的 好 坏 要 靠 实 际 施 行 情 况 来 判 断 。 修 订 版 的 V E P 仍 让 N S A 全 权 负 责 ， 要 求 美 国 政 府 实 现 文 化 转 型 ， 而 不 是 囤 积 安 全 漏 洞 。 至 于 文 化 转 型 ， 我 们 还 得 拭 目 以 待 。 影 子 经 纪 人 （ S h a d o w   B r o k e r s ） 窃 取 并 公 开 N S A 网 络 武 器 的 做 法 无 疑 让 N S A 陷 入 深 思 ， 但 是 ， 文 化 转 型 一 般 经 历 很 长 的 维 持 期 和 过 渡 期 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 5 9 6 0 3 9 8 7 7 . s h t m l
推 荐 阅 读 ： 专 家 剖 析 ： 白 宫 应 公 开 漏 洞 公 平 裁 决 程 序 专 家 剖 析 ： 白 宫 应 公 开 漏 洞 公 平 裁 决 程 序 V E P 五 大 内 容 五 大 内 容 中 国 网 络 安 全 漏 洞 披 露 效 率 远 超 美 国 漏 洞 披 露 暗 网 总 快 过 官 方 ， 企 业 安 全 绝 不 仅 是 打 补 丁 ? 美 国 政 府 本 周 发 布 第 二 份 漏 洞 披 露 政 策 英 国 指 责 俄 罗 斯 为 W a n n a C r y 勒 索 风 波 罪 魁 祸 首 美 媒 ： 中 国 黑 客 无 视 中 美 网 络 安 全 协 议 美 国 土 安 全 部 D H S 已 黑 进 波 音 7 5 7 ， 商 用 飞 机 还 安 全 吗 ？ ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理