Divulgación completa (seguridad informática)

La divulgación coordinada de vulnerabilidades es una política según la cual los investigadores acuerdan informar sobre las vulnerabilidades a una autoridad coordinadora, que luego lo comunica al proveedor, realiza un seguimiento de las correcciones y las medidas de mitigación, y coordina la divulgación de la información con las partes interesadas, incluido el público. ^{[ 7 ] [ 8 ]} En algunos casos, la autoridad coordinadora es el proveedor. La premisa de la divulgación coordinada es que nadie debe ser informado sobre una vulnerabilidad hasta que el proveedor de software lo indique. ^{[ 9 ] [ 10 ]} Si bien a menudo existen excepciones o variaciones de esta política, la distribución debe limitarse inicialmente y los proveedores reciben acceso privilegiado a la investigación no pública. ^{[ 11 ]}

El nombre original de este enfoque era "divulgación responsable", basado en el ensayo del gerente de seguridad de Microsoft, Scott Culp, titulado "Es hora de acabar con la anarquía de la información" ^{[ 12 ]} (en referencia a la divulgación completa). Posteriormente, Microsoft solicitó que se eliminara gradualmente el término en favor de "Divulgación coordinada de vulnerabilidades" (CVD). ^{[ 13 ] [ 14 ]}

Aunque el razonamiento varía, muchos profesionales argumentan que los usuarios finales no pueden beneficiarse del acceso a la información sobre vulnerabilidades sin la orientación o los parches del proveedor, por lo que los riesgos de compartir la investigación con actores maliciosos son demasiado grandes para el escaso beneficio que se obtiene. Como explica Microsoft, «[La divulgación coordinada] beneficia a todos al garantizar que los clientes reciban actualizaciones completas y de alta calidad sobre vulnerabilidades de seguridad, pero sin estar expuestos a ataques maliciosos mientras se desarrolla la actualización». ^{[ 14 ]}

Para evitar que los proveedores retrasen indefinidamente la divulgación, una práctica común en la industria de la seguridad, iniciada por Google, ^{[ 15 ]} es publicar todos los detalles de las vulnerabilidades después de una fecha límite, generalmente 90 o 120 ^{[ 16 ]} días, reducidos a 7 días si la vulnerabilidad está siendo explotada activamente . ^{[ 17 ]}

La divulgación completa consiste en publicar información sobre vulnerabilidades sin restricciones lo antes posible, haciéndola accesible al público en general. En general, quienes defienden la divulgación completa creen que los beneficios de la investigación sobre vulnerabilidades disponible libremente superan los riesgos, mientras que quienes se oponen prefieren limitar su distribución.

La disponibilidad gratuita de información sobre vulnerabilidades permite a usuarios y administradores comprender y reaccionar ante las vulnerabilidades de sus sistemas, y permite a los clientes presionar a los proveedores para que solucionen vulnerabilidades que, de otro modo, estos podrían no tener incentivos para resolver. Existen algunos problemas fundamentales con la divulgación coordinada que la divulgación completa puede solucionar.

• Si los clientes desconocen las vulnerabilidades, no pueden solicitar parches y los proveedores no tienen ningún incentivo económico para corregirlas.
• Los administradores no pueden tomar decisiones informadas sobre los riesgos para sus sistemas, ya que la información sobre vulnerabilidades está restringida.
• Los investigadores malintencionados que conocen la vulnerabilidad disponen de un largo período de tiempo para seguir explotándola.

El descubrimiento de un fallo o vulnerabilidad específicos no es un hecho excluyente; varios investigadores con motivaciones diferentes pueden descubrir, y de hecho descubren, los mismos fallos de forma independiente.

No existe una forma estándar de poner la información sobre vulnerabilidades a disposición del público; los investigadores suelen utilizar listas de correo dedicadas al tema, artículos académicos o conferencias del sector.

La política de no divulgación establece que la información sobre vulnerabilidades no debe compartirse, o solo debe compartirse bajo un acuerdo de confidencialidad (ya sea contractual o informal).

Entre los defensores comunes de la no divulgación se incluyen los vendedores comerciales de exploits, los investigadores que pretenden explotar las fallas que encuentran, ^{[ 5 ]} y los defensores de la seguridad a través de la oscuridad .

En 2009, Charlie Miller , Dino Dai Zovi y Alexander Sotirov anunciaron en la conferencia CanSecWest la campaña "No More Free Bugs" (No más errores gratuitos), argumentando que las empresas se lucran y se aprovechan de los investigadores de seguridad al no pagarles por revelar errores. ^{[ 18 ]} Este anuncio llegó a los medios de comunicación y abrió un debate más amplio sobre el problema y los incentivos asociados. ^{[ 19 ] [ 20 ]}