OpenSSL预先通知发布严重的安全修复

金博梦
导读 鉴于今年早些时候暴露的心脏出血漏洞的不利影响,OpenSSL项目发布了第一个安全策略,详细解释了项目如何处理安全问题。根据这一战略,该项

鉴于今年早些时候暴露的心脏出血漏洞的不利影响,OpenSSL项目发布了第一个安全策略,详细解释了项目如何处理安全问题。

根据这一战略,该项目将安全问题分为三类:高、中、低。

为了获得高评级,我们必须利用OpenSSL的常见配置,如发起拒绝服务攻击、内存泄漏或远程代码执行。当向项目报告时,政策声明这个问题在OpenSSL开发团队中仍然是私有的,并提供了Linux和BSD发行版的一些细节和补丁,以便他们可以为用户准备包并提供反馈。

这些[高严重性]问题将保持私密状态,并将触发所有受支持版本的新版本。我们将尽最大努力尽量减少这些问题。我们的目标将不再是我们控制下的问题。如果有重大风险,或者如果我们意识到我们正在利用这个问题,我们的目标会更快。'

如果版本泄露或未能以反馈、测试结果或更正的形式“增值”,OpenSSL项目保留撤销未来问题通知的权利。

对于被认为是中度严重的问题,它将保持私有,并滚动到下一个版本的OpenSSL,该版本旨在修复许多此类问题。

严重性较低的问题将在项目的开发分支中立即得到修复,并可能返回到OpenSSL的旧版本和受支持的版本。根据政策,它们不会导致新的发行。

虽然致力于维护安全问题的透明度,但OpenSSL表示,关键是要对问题保密,直到修复准备就绪。

他说,你告诉的人越多,泄露的可能性就越大。在OpenSSL和其他项目之前,我们都看到了这一点。'

根据该项目,过去曾尝试由CPNI、oCERT或CERT/CC等第三方处理问题通知,但均不适用。

政策称:“快速解决OpenSSL的安全问题,符合整个互联网的最佳利益。”OpenSSL禁运应该以天和周来衡量,而不是以月或年来衡量。"

OpenSSL拒绝用户可以为问题预先通知付费的概念。

该项目表示:“组织将提前通知作为营销中的竞争优势是不可接受的。”

“我们坚信,推广补丁/信息的权利不应以任何方式基于论坛的付费成员。”

标签:

免责声明:本文由用户上传,如有侵权请联系删除!