Инициатива по координированному раскрытию уязвимостей: новый стандарт безопасности

7 сентября Шарль Гийме, технический директор компании Ledger, предложил в открытом письме сделать координированное раскрытие уязвимостей отраслевым стандартом. Это предложение нашло поддержку у таких компаний, как Trezor, Foundation, AnchorWatch, SEAL и других крупных игроков в криптосфере.

С развитием искусственного интеллекта поиск уязвимостей стал значительно дешевле и быстрее, но это не отменяет важность ответственного раскрытия, как отметил Гийме. Он подчеркнул, что процесс координированного раскрытия должен включать четыре этапа: конфиденциальное уведомление компании об уязвимости, ее воспроизведение и подтверждение, согласование сроков исправления и последующее полное раскрытие информации после выхода обновления.

Гийме выделил несколько проблемных сценариев, таких как полное раскрытие уязвимости до выхода патча или представление исправленной ошибки как действующей. Особенно опасными эти практики являются для криптоиндустрии, где транзакции обычно необратимы. Он призвал пользователей и исследователей к более ответственному подходу и подчеркнул важность своевременного обновления ПО.

Он также обратился к компаниям и специалистам по безопасности с призывом поддерживать координированное раскрытие и вознаграждать тех, кто соблюдает его правила. Гийме подчеркнул, что безопасность — это постоянный процесс, требующий совместных усилий исследователей, производителей и пользователей.

Последствия нарушения принципов ответственного раскрытия могут быть опасными, как показал недавний инцидент в сети Liquid Network, где была обнаружена уязвимость, позволившая злоумышленникам вывести около 4000 BTC. Гийме отметил, что такие ситуации не только подрывают безопасность, но и создают дополнительные риски для пользователей, которые часто становятся жертвами фишинга.

Этот вопрос уже стал предметом обсуждения в контексте инцидента с Ledger в августе, когда компания TestMachine публично раскрыла уязвимость в Ethereum-приложении Ledger. Гийме отметил, что проблема была исправлена до публикации, и подчеркнул важность координации между исследователями и производителями.

В России на фоне этих событий наблюдается рост спроса на аппаратные криптокошельки, что подчеркивает важность надежных решений в области безопасности для защиты цифровых активов.