专栏首页菜鸟程序员下载 | 美政府发布《未分类漏洞权益VEP宪章》 增加0Day漏洞审查及披露的透明度

下载 | 美政府发布《未分类漏洞权益VEP宪章》 增加0Day漏洞审查及披露的透明度

本文转自:http://toutiao.secjia.com/vep-charter

特朗普政府在星期三发布了一份年度报告《未分类漏洞权益VEP宪章》,概述政府的决定,即何时公开向公众透露新发现的计算机漏洞,以及何时将其囤积起来,以刺探和攻击美国的对手。

这一举动标志着政府的“漏洞权益流程vulnerabilities equities process”迈出了重要的一步,透明度倡导者之前一直抱怨这方面太不透明, 当那些不公开的漏洞被 网络犯罪 分子发现时, 他们往往会让公民的个人信息变得脆弱。

vulnerabilities equities process是什么

从2010年以来,美国政府一直在推行一项名为Vulnerabilities Equities Process的项目。这个项目要求获得漏洞信息的情报机构在政府内部分享相关信息,以进行评估。然后,根据每个漏洞的情况来决定 是否 告知企业这个漏洞,以便它们发布安全补丁,保护用户的安全, 还是保留这个漏洞用于进行间谍活动 ,以谋求更广大公众的利益。

《未分类漏洞权益VEP宪章》增加了政府对于漏洞审查的透明度

此举也正值美国情报机构陷于CIA中情局和NSA国家安全局的重大泄露事件,在该事件中他们保护未公开 0Day漏洞 的能力饱受质疑。白宫安全网协调员Rob Joyce在一篇描述新漏洞审查过程的博客文章中承认,这些泄露行为

“破坏了公众的信心,损害了我们执行情报任务的能力”。 https://www.whitehouse.gov/blog/2017/11/15/improving-and-making-vulnerability-equities-process-transparent-right-thing-do

根据星期三发布的《Charter》所述,年度报告将包括关于漏洞审查的“合适的统计信息”,以及委员会对审查新发现漏洞的任何更改。该委员会由美国家安全局NSA领导,涉及整个文职政府的代表,包括白宫、商业、财政部、州、能源、国土安全和司法部门,以及五角大楼、国家情报局局长和中央情报局CIA。

委员会将进行为期五天的见面会议,学习一个新的0Day漏洞,并权衡众多因素,包括理解可能的敌人和罪犯分子是如何发现漏洞并利用它对企业和公民进行攻击的,这些攻击将会带来多少伤害,以及这些漏洞一旦被披露,将如何减轻它们带来的威胁。

委员会还将考虑, 如果情报机构、军方和执法部门不公开漏洞的话,它们将从中获得怎样的收益,以及可能带来的外交后果。

根据《Charter》所述,每年将重新审查未公开的漏洞。如果政府发现有人在利用漏洞,委员会将在24小时内重新审查。这个过程还要求NSA审查加密算法中的任何漏洞,例如科技公司保障公民的通信安全中的问题。执法官员辩称, 即使是提供通信服务的公司, 保护通信的加密系统, 也可能涉及犯罪分子和恐怖分子的招募和计划行动。

奥巴马政府披露心脏出血0Day漏洞始末

奥巴马政府之前披露了其在2014年,审查0Day漏洞过程的基本细节, 此前, 美国国家安全局可能已经知道了公众的强烈抗议, 但没有透露,在开源安全系统中存在一个严重的漏洞, 这就是后来被利用并为大家所熟知的心脏出血漏洞Heartbleed

https://obamawhitehouse.archives.gov/blog/2014/04/28/heartbleed-understanding-when-we-disclose-cyber-vulnerabilities

但国家安全局NSA否认知道这个问题。

奥巴马政府官员还透露,国家安全局通常会在下一年披露自己掌握的大约91%的漏洞。乔伊斯上周在国防峰会上表示,这一比例目前仍大致维持这个水准,同时他展示了漏洞审查的过程及更新。

《未分类漏洞权益VEP宪章》增加了透明度 但估计与大家的期待还是有差距

星期三的更新增加了审查过程的透明度,但不太可能平息透明度团体或一些安全拥护者的担忧,他们希望披露更多的0Day漏洞。乔伊斯在他的博客中描述了这一审查过程,因为政府尽最大努力平衡两个方面的紧张情绪,“一方面政府需要维持在网络中追逐流氓行为者的手段,而另一方面它有义务与责任方分享其在软件和硬件方面的漏洞知识。”他把揭露所有漏洞的想法描述为“等于单方面裁军”。

https://www.whitehouse.gov/blog/2017/11/15/improving-and-making-vulnerability-equities-process-transparent-right-thing-do

但一些对政府囤积的漏洞持严厉批评态度的人也表示,例如一些漏洞如果只影响朝鲜政府使用的计算机系统,那么如果它不公开就不会影响到更广泛的世界。

未分类漏洞权益宪章

点击图片下载

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 关于Intel ME SA-00086 漏洞,你应该知道的更多

    用户1697231
  • 2017年Office漏洞及漏洞攻击研究报告

    用户1697231
  • 视频会议系统Polycom HDX远程命令执行漏洞分析

    用户1697231
  • 安全

    XSS属于漏洞攻防,我们要研究它就要了解这个领域的一些行话,这样才好沟通交流。同时我建立了一个简易的攻击模型用于XSS漏洞学习。

    and是不是很气呀
  • Android 0day收购价高达250万美金,首次反超iOS

    近日,漏洞收购商Zerodium更新了安卓和iOS的0day漏洞收购价,发现自2015年公司成立以来,安卓0day漏洞价格首次高于iOS漏洞价格。

    FB客服
  • 高通DSP芯片被曝6个漏洞事件引发的安全危机猜想

    近日,国外知名安全研究机构Check Point发现,高通骁龙系列芯片的数字信号处理芯片(DSP)中存在大量漏洞,总数多达400多。研究人员表示,由于易受攻击的...

    腾讯安全
  • 初识弱点扫描

    这个数据库是OffensiveSecurity 维护的,收集了大量的意已知漏洞的PoC 和 Exp,也是我们查找漏洞利用代码的主要途径之一

    意大利的猫
  • 【漏洞治理】漏洞调研报告(非完整版)

    “ 在大型网络安全攻防活动前夕,互联网上又出现不少漏洞治理相关文章,部分微信群也纷纷进行热议。关于漏洞的治理,仍旧是网安行业经久不衰的话题。”

    aerfa
  • 企业漏洞管理的4大误区

    根据IBM的2019年数据泄露成本报告,美国数据泄露的平均成本为819万美元。公司平均需要206天才能识别出泄露,尝试解决这些问题则平均需要38天。

    FB客服
  • 鉴谈漏洞利用

    前言本来不想讲这个事情,但是因为很多小白对这方面可能不太了解,所以讲一讲,关于鉴定网络上流传漏洞poc或exp的方法,原因是这二天关于cve-2019-0708...

    C4rpeDime

扫码关注云+社区

领取腾讯云代金券