Sorumlu ifşa nedir?
Sorumlu ifşa (responsible disclosure), bir güvenlik açığını bulan kişinin, bunu kamuoyuna duyurmadan önce ilgili kuruluşa bildirmesi ve düzeltme için makul bir süre tanıması ilkesidir. Amaç, açığın saldırganlar tarafından kullanılmasını önlerken kullanıcıları da korumaktır.
Bu yaklaşım hem araştırmacının hem de kuruluşun yararınadır: araştırmacı çalışmasının karşılığını görür, kuruluş ise açığı kontrolsüz bir duyuru olmadan giderebilir. Bugün birçok kaynakta aynı kavram “koordineli ifşa” olarak da anılır.
Nasıl çalışır?
Süreç genellikle şu sırayı izler: açığın tespiti ve doğrulanması, kuruluşun güvenlik iletişim kanalına özel olarak bildirilmesi, kuruluşun raporu alıp doğrulaması, düzeltmenin hazırlanması ve yayımlanması, ardından açığın kamuya açıklanması. Düzeltme için genellikle önceden kararlaştırılmış bir süre tanınır.
Kuruluşun açığı düzeltmemesi ya da yanıt vermemesi durumunda süre dolduktan sonra ifşa edilebilir. Bildirim kanalı olarak çoğu site security.txt dosyasında iletişim bilgisini yayınlar.
Sunucu ve hosting ortamında
Hosting sağlayıcıları ve web sitesi sahipleri, sitelerinin kök dizinindeki /.well-known/security.txt dosyasıyla güvenlik açıklarının nereye bildirileceğini araştırmacılara gösterebilir. Bu dosya basit bir metin dosyası olup iletişim adresi, tercih edilen dil ve politika bağlantısını içerir.
Ayrıca ayrılmış bir güvenlik e-posta adresi ve gelen raporları ele alan bir iç süreç tanımlanmalıdır. Raporun alınması, doğrulanması ve düzeltilmesi için sorumlu kişiler ve hedef süreler önceden belirlenirse yanıt hızlanır.
Nelere dikkat edilmeli?
- Araştırmacı olarak yalnızca açığı kanıtlamaya yetecek kadar test yapın, veriye erişmeyin
- Bildirimi özel kanaldan yapın, ayrıntıları açık platformda paylaşmayın
- Kuruluşa makul bir düzeltme süresi tanıyın
- Kuruluş olarak güvenlik iletişim bilgilerini
security.txtile yayınlayın - Raporlara hızlıca teşekkür edip durum bilgisi verin
- Araştırmacılara karşı yasal tehdit yerine açık bir koruma politikası uygulayın
Sık yapılan hatalar
- Açığı bildirmeden doğrudan sosyal medyada paylaşmak
- Kuruluşun rapora hiç yanıt vermemesi
- Gereğinden fazla test yapıp kullanıcı verilerine erişmek
- Güvenlik iletişim adresini yayınlamayıp araştırmacıyı yanlış kanala yönlendirmek
Sık sorulan sorular
Sorumlu ifşa nedir?
Bir güvenlik açığını kamuya duyurmadan önce ilgili kuruluşa bildirme ve düzeltme için süre tanıma uygulamasıdır. Hedef, kullanıcıları risk altında bırakmadan sorunun çözülmesidir.
Sorumlu ifşa ile tam ifşa arasındaki fark nedir?
Sorumlu ifşada açık önce kuruluşa bildirilir ve düzeltme sonrası duyurulur. Tam ifşada ise ayrıntılar kuruluşa haber verilmeden ya da çok kısa sürede kamuya açıklanır.
Güvenlik açığı bulursam ne yapmalıyım?
Önce açığı kanıtlamaya yetecek kadar doğrulayın, ardından kuruluşun güvenlik iletişim kanalından özel olarak bildirin. Açığı istismar etmeyin ve düzeltme gelmeden ayrıntılarını paylaşmayın.
İlgili terimler
- Tehdit modellemeBir sistemi kimlerin, neden ve nasıl hedef alabileceğini tasarım aşamasında sistemli biçimde çıkarma ve önceliklendirme çalışması.
- TLS / SSLİnternet trafiğini şifreleyen ve sunucuyu doğrulayan protokol.
- WAF (Web uygulama güvenlik duvarı)HTTP trafiğini inceleyip web saldırılarını engelleyen güvenlik katmanı.
- Yama (patch)Bir açığı kapatan yazılım düzeltmesi.
- Zafiyet yönetimi (vulnerability management)Sistemlerdeki güvenlik açıklarının sürekli biçimde bulunması, önceliklendirilmesi, giderilmesi ve doğrulanması döngüsü.
- Açık taraması (vulnerability scan)Sistemlerde bilinen açıkları otomatik arayan tarama.