搜索

[5969] 2019-06-15_GCHQ的漏洞裁定流程

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2019-06-15_GCHQ的漏洞裁定流程 G C H Q 的 漏 洞 裁 定 流 程 原 创   E 安 全   E 安 全   2 0 1 9 - 0 6 - 1 5 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m 小 编 来 报 ： 小 编 来 报 ： 漏 洞 裁 定 流 程 该 如 何 ？ 一 起 来 看 看 英 国 国 家 安 全 机 构 G C H Q 的 做 法 。 美 国 对 于 “ 漏 洞 裁 定 ” 一 直 都 存 在 争 议 — — 而 争 论 的 焦 点 在 于 政 府 是 否 应 该 向 厂 商 披 露 漏 洞 。 披 露 的 话 ， 用 户 就 可 以 打 上 补 丁 ， 从 而 避 免 漏 洞 被 利 用 ； 如 果 不 披 露 ， 那 么 漏 洞 就 可 以 为 政 府 所 用 。 具 体 流 程 应 该 如 何 操 作 ， 其 实 还 缺 乏 数 据 支 持 。 但 美 国 可 以 了 解 一 下 英 国 是 怎 么 处 理 同 类 问 题 的 。 最 近 ， 英 国 国 家 网 络 安 全 中 心 N C S C — — 英 国 国 家 安 全 机 构 G C H Q 的 一 个 下 属 部 门 ， 向 微 软 披 露 了 一 个 主 要 漏 洞 。 微 软 将 这 一 漏 洞 命 名 为 “ B l u e K e e p ”   （ 漏 洞 代 码 C V E - 2 0 1 9 - 0 7 0 8 ） ， 该 漏 洞 严 重 到 需 要 为 已 经 停 止 支 持 W i n d o w s X P 和 W i n d o w s 2 0 0 3 系 统 提 供 补 丁 。 尽 管 该 漏 洞 对 W i n d o w s   8 和 W i n d o w s   1 0 没 有 影 响 ， 但 据 说 这 个 漏 洞 还 是 相 当 严 重 的 ， 因 为 未 经 验 证 的 攻 击 因 为 未 经 验 证 的 攻 击 者 可 以 利 用 该 漏 洞 完 全 控 制 远 程 系 统 。 者 可 以 利 用 该 漏 洞 完 全 控 制 远 程 系 统 。 这 是 受 到 情 报 机 构 青 睐 的 漏 洞 利 用 方 式 ， 因 为 情 报 机 构 可 以 以 此 入 侵 高 安 全 级 别 的 目 标 。 其 实 在 这 件 事 情 的 处 理 上 是 存 在 多 种 可 能 性 的 ， 但 无 论 是 哪 种 可 能 性 ， G C H Q 都 是 赢 家 。 有 可 能 G C H Q 发 现 这 个 漏 洞 后 就 披 露 该 漏 洞 。 也 可 能 该 机 构 发 现 该 漏 洞 后 ， 秘 密 利 用 了 这 个 漏 洞 ， 后 来 由 于 发 现 对 手 捕 获 该 漏 洞 后 也 留 作 己 用 ， 又 或 者 G C H Q 发 现 有 人 已 经 在 利 用 此 漏 洞 ， 随 即 公 开 这 一 漏 洞 。 这 三 种 可 能 性 都 很 好 地 说 明 了 G C H Q 的 内 部 处 理 流 程 ， 但 是 我 们 希 望 该 机 构 可 以 正 式 披 露 漏 洞 ： 这 样 的 披 露 信 息 有 助 于 各 方 就 漏 洞 披 露 的 政 策 进 行 磋 商 。 这 样 的 披 露 信 息 有 助 于 各 方 就 漏 洞 披 露 的 政 策 进 行 磋 商 。 在 第 一 种 情 况 中 ， G C H Q 发 现 漏 洞 后 ， 经 内 部 流 程 后 才 决 定 通 知 微 软 公 司 。 这 意 味 着 其 漏 洞 裁 定 流 程 是 一 种 高 度 防 这 意 味 着 其 漏 洞 裁 定 流 程 是 一 种 高 度 防
御 倾 向 的 流 程 御 倾 向 的 流 程 — — 而 这 是 各 种 情 报 机 构 的 批 评 者 们 想 要 的 流 程 类 型 。 而 这 是 各 种 情 报 机 构 的 批 评 者 们 想 要 的 流 程 类 型 。 如 果 是 这 样 ， 人 们 就 会 因 为 G C H Q 在 发 现 如 此 严 重 的 漏 洞 后 ， 及 时 作 出 回 应 ， 且 确 保 无 人 利 用 漏 洞 ， 从 而 对 其 更 信 任 。 这 样 的 处 理 方 式 也 向 政 策 制 定 者 和 其 他 人 表 明 ， 至 少 在 英 国 ， 目 前 的 漏 洞 裁 定 流 程 是 极 为 偏 向 防 御 的 。 在 第 二 种 可 能 性 中 ， G C H Q 发 现 了 这 个 漏 洞 ， 将 其 作 为 武 器 利 用 。 考 虑 到 这 种 漏 洞 利 用 的 威 力 ， 估 计 任 何 情 报 机 构 都 想 要 利 用 这 样 的 漏 洞 ， 以 便 攻 击 特 别 困 难 的 目 标 。 或 许 ， 或 许 ， G C H Q 有 理 由 相 信 其 对 手 随 后 也 会 发 现 这 一 漏 洞 ， 或 许 是 通 有 理 由 相 信 其 对 手 随 后 也 会 发 现 这 一 漏 洞 ， 或 许 是 通 过 对 攻 击 实 施 逆 向 工 程 来 发 现 漏 洞 。 过 对 攻 击 实 施 逆 向 工 程 来 发 现 漏 洞 。 一 个 N O B U S （ 只 有 自 己 知 道 ） 漏 洞 就 是 具 备 这 种 特 性 ， 但 是 如 果 其 他 人 也 知 道 漏 洞 的 存 在 ， 危 险 就 极 大 增 加 了 。 所 以 ， 干 脆 通 知 微 软 ， 让 其 大 白 于 天 下 ， 就 变 得 很 关 键 。 这 样 的 做 法 也 能 体 现 G C H Q 的 高 度 责 任 感 。 因 为 在 这 种 情 况 下 ， 该 机 构 发 现 了 一 个 漏 洞 ， 利 用 了 这 个 漏 洞 （ 毕 因 为 在 这 种 情 况 下 ， 该 机 构 发 现 了 一 个 漏 洞 ， 利 用 了 这 个 漏 洞 （ 毕 竟 ， 竟 ， G C H Q 的 工 作 就 是 入 侵 其 他 电 脑 ） ， 而 后 ， 当 危 险 增 加 时 ， 又 公 开 了 漏 洞 。 的 工 作 就 是 入 侵 其 他 电 脑 ） ， 而 后 ， 当 危 险 增 加 时 ， 又 公 开 了 漏 洞 。 这 样 以 来 ， 该 机 构 其 实 是 隐 晦 地 告 知 了 知 晓 此 漏 洞 的 人 ， G C H Q 已 经 知 道 有 人 捕 获 了 此 漏 洞 。 如 果 是 这 样 ， G C H Q 就 会 因 其 负 责 任 的 行 为 而 获 得 赞 誉 。 而 这 样 还 表 明 ， G C H Q 所 遵 循 的 漏 洞 裁 定 流 程 虽 然 倾 向 于 防 御 ， 但 是 会 监 控 事 态 的 变 化 情 况 。 就 像 N S A 知 道 “ 影 子 经 纪 人 ” 得 到 漏 洞 副 本 后 ， 向 微 软 披 露 “ 永 恒 之 蓝 ” 一 样 （ 影 子 经 纪 人 在 拍 卖 中 告 知 了 工 具 名 称 ， N S A 随 后 则 通 知 了 微 软 ， 而 微 软 也 在 黑 客 发 布 漏 洞 利 用 工 具 之 前 及 时 打 上 了 补 丁 ） ， 英 国 应 该 也 做 着 同 样 的 事 情 。 在 这 种 情 况 下 ， G C H Q 会 遵 循 “ 不 单 方 面 解 除 武 装 ， 双 方 同 时 解 除 ” 的 原 则 ： 如 果 找 到 一 个 N O B U S 漏 洞 ， 则 其 保 持 防 御
状 态 。 但 一 旦 发 现 它 不 再 是 N O B U S 漏 洞 ， 则 要 修 补 漏 洞 。 如 果 掌 管 N S A 或 是 G C H Q ， 这 也 可 能 是 我 要 采 取 的 姿 态 。 在 最 后 一 种 可 能 性 中 ， G C H Q 发 现 对 手 正 在 利 用 此 漏 洞 ， 所 以 ， 一 发 现 漏 洞 就 报 告 给 了 微 软 。 这 里 要 高 度 评 价 G C H Q 的 防 御 工 作 。 这 种 防 御 上 的 胜 利 值 得 称 赞 。 如 果 是 这 样 ， 对 手 已 知 晓 如 果 是 这 样 ， 对 手 已 知 晓 G C H Q 发 现 了 攻 击 后 ， 所 以 向 公 众 披 露 漏 洞 并 不 发 现 了 攻 击 后 ， 所 以 向 公 众 披 露 漏 洞 并 不 会 向 对 手 泄 露 什 么 新 情 况 ， 但 却 能 让 政 策 制 定 者 和 公 众 了 解 到 会 向 对 手 泄 露 什 么 新 情 况 ， 但 却 能 让 政 策 制 定 者 和 公 众 了 解 到 G C H Q 的 防 御 操 作 。 的 防 御 操 作 。 同 时 ， 能 让 该 机 构 以 胜 利 姿 态 出 现 。 上 述 三 种 可 能 性 都 能 树 立 G C H Q 的 正 面 形 象 ， 而 且 都 不 会 向 对 手 透 露 什 么 隐 秘 信 息 。 在 第 一 种 情 况 中 ， 都 不 存 在 对 手 ， 而 第 二 和 第 三 种 情 况 中 ， 对 手 早 已 知 晓 漏 洞 情 况 。 但 是 公 开 漏 洞 会 让 公 众 有 所 防 御 ， 从 而 告 诉 公 众 一 个 有 责 任 感 的 情 报 机 构 是 怎 么 做 事 的 。 希 望 G C H Q 能 明 白 ， 在 这 种 情 况 中 ， 其 保 密 的 属 性 最 好 让 位 于 公 众 利 益 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 大 型 飞 机 零 部 件 供 应 商 A S C O 遭 勒 索 软 件 攻 击 ， 1 0 0 0 名 员 工 在 家 等 待 恢 复 工 作 美 国 众 议 院 在 能 源 支 出 法 案 中 重 点 关 注 网 络 安 全 研 发 手 机 麦 克 风 能 “ 偷 听 ” 你 在 手 机 上 输 入 的 内 容 ！ 油 罐 监 控 设 备 存 在 严 重 漏 洞 ， 易 受 黑 客 攻 击 大 型 科 技 公 司 切 断 员 工 与 华 为 的 联 系 ， 专 家 称 此 举 影 响 5 G 推 出 中 央 网 信 办 等 四 部 委 联 合 开 展 互 联 网 网 站 安 全 专 项 整 治   将 处 罚 并 曝 光 违 法 违 规 网 站 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容
喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理