協調的な脆弱性開示

コンピュータセキュリティにおいて、協調的脆弱性開示（CVD ）は、責任ある開示とも呼ばれる^{[ 1 ]}脆弱性開示モデルであり、脆弱性や問題は、責任ある当事者が脆弱性や問題を修正または修復するのに十分な時間が与えられた後にのみ一般に開示される^{[ 2 ]} 。この協調性によって、CVDモデルは「完全開示」モデルと区別される。

ハードウェアやソフトウェアの開発者は、ミスを修正するために時間とリソースを必要とすることがよくあります。多くの場合、これらの脆弱性を発見するのは倫理的なハッカーです。^{[ 1 ]}オープンなコンピュータセキュリティ科学者は、脆弱性を一般に周知させることが社会的責任であると考えています。問題を隠蔽すると、誤った安心感を与える可能性があります。これを避けるために、関係者は連携し、脆弱性を修正するための妥当な期間について交渉します。脆弱性の潜在的な影響、緊急修正や回避策の開発と適用に必要な予想時間、その他の要因に応じて、この期間は数日から数か月まで変動する可能性があります。

協調的な脆弱性開示は、金銭的報酬を期待するセキュリティ研究者を満足させない可能性がある。同時に、報酬を期待して脆弱性を報告することは、一部の人々からは恐喝と見なされている。^{[ 3 ] [ 4 ]}一部の組織は、適切な経路で脆弱性を報告することに報いるバグ報奨金プログラムを設けている。これには、Facebook、Google、Barracuda Networksなどが含まれる。^{[ 5 ]}

Google Project Zeroには、ベンダーに脆弱性を通知してから90日以内の開示期限があり、90日後に防御コミュニティに詳細が公開されるか、ベンダーが修正プログラムをリリースした場合はそれより早く公開されます。^{[ 6 ]}

ZDIには、ベンダーからの回答を受け取ってから120日間の開示期限があります。^{[ 7 ]}

組織によっては、自社で運用する脆弱性開示プログラムに加え、サードパーティのセキュリティベンダーが提供するマネージド脆弱性開示サービスを利用するケースもあります。このモデルでは、外部プロバイダーが組織に代わって脆弱性報告チャネルを運用・維持し、報告された脆弱性の初期トリアージと検証を行い、報告者と影響を受ける組織間のコミュニケーションを調整します。マネージド方式は、通常、専任のセキュリティ担当者が社内にいない組織や、大量の脆弱性報告を受け取る組織で採用されています。

管理型脆弱性開示サービスは、一般的に、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）^{[ 8 ]}や欧州連合サイバーセキュリティ機関（ENISA）^{[ 9 ]}が公表しているような、確立された協調的開示フレームワークに準拠しており、ISO/IEC 29147やISO/IEC 30111などの標準をサポートするように設計されているのが一般的です。業界のガイダンスでは、これらのサービスは、対応力の向上、セーフハーバー条項による研究者の法的リスクの軽減、脆弱性報告の一貫した処理の確保、そして組織の修復および最終的な開示決定に対する責任の維持を目的としていると説明されています。Hackrateなどの商用脆弱性管理およびバグ報奨金プラットフォームのいくつかは、より広範なセキュリティテストや脆弱性調整サービスの一環として管理型開示を提供しており、HackrateはCVE番号付与機関（CNA）として機能し、協調的開示プロセスの一環としてCVE識別子を割り当てることで、脆弱性の特定に直接参加しています。^{[ 10 ]}

協調的な情報開示の適用により解決された、選択されたセキュリティ脆弱性：

• MD5衝突攻撃は、偽のCA証明書を作成する方法を示しています。1週間^{[ 11 ]}
• スターバックスギフトカードの二重支払い/不正な追加クレジットを生み出すことができた競合状態、10日間（エゴール・ホマコフ）^{[ 12 ]}
• ダン・カミンスキーによるDNSキャッシュポイズニングの発見、5ヶ月前^{[ 13 ]}
• MBTA対アンダーソン、MITの学生がマサチューセッツ州地下鉄のセキュリティの脆弱性を発見、5か月前^{[ 14 ]}
• ラドバウド大学ナイメーヘン校がMIFARE Classicカードのセキュリティを破る、6か月前^{[ 15 ]}
• Meltdown脆弱性、Intel x86マイクロプロセッサおよび一部のARMベースのマイクロプロセッサに影響を与えるハードウェア脆弱性、7か月。^{[ 16 ]}
• Spectre脆弱性は、投機的実行を行う最新のマイクロプロセッサに影響を与える分岐予測の実装に関するハードウェア脆弱性であり、悪意のあるプロセスが他のプログラムのマッピングされたメモリ内容にアクセスできるようにするもので、7か月前に発見されました。^{[ 16 ]}
• ROCAの脆弱性は、 InfineonライブラリとYubiKeyによって生成されたRSAキーに影響を与え、8か月前に発見されました。^{[ 17 ]}

• ゼロデイ脆弱性
• コンピュータ緊急対応チーム

• CERTによる協調的な脆弱性開示ガイド
• CISAの協調的脆弱性開示（CVD）プロセス
• マイクロソフトの協調的な脆弱性開示への取り組み
• ENISAによる協調的脆弱性開示に関するガイドライン
• ヒューレット・パッカードの協調的脆弱性開示ポリシー
• Linksysの協調型脆弱性開示プログラム
• サイバー専門知識に関するグローバルフォーラムの協調的脆弱性開示ポリシー
• フィリップス社による脆弱性開示声明
• ETSIの協調的脆弱性開示ポリシー

• 「ISO/IEC TR 5895:2022 - 複数当事者による協調的な脆弱性の開示と処理」