Revelación parcial
From Wikipedia, the free encyclopedia
La políticas de revelación parcial (en inglés partial disclosure) es una tipo de políticas de revelación de vulnerabilidades que establecerse como punto intermedio entre la política de no revelación de vulnerabilidades y la política de revelación completa. Intentan aprovechar buenas ideas de una y otra para situarse en un punto intermedio con mejores características. Se han desarrollado distintos modelos pero cada uno tiene sus inconvenientes considerándose el problema de la política de revelación como un problema abierto y pendiente de solución.
El uso masivo de políticas de revelación completa provocó la aparición masiva de exploits. Esto, junto con la tardanza de los proveedores de software en liberar los parches y las malas prácticas de los responsables de seguridad en aplicarlos, provocó un éxito masivo de dichos exploits hasta proporciones epidémicas. En esta situación aparició un movimiento importante por parte de algunas compañías de software y de algunos investigadores de seguridad para promover otro tipo de políticas de revelación de vulnerabilidades que no redujeran la información publicada de forma que no se dieran detalles que permitieran el desarrollo de exploits que permitieran automatizar el ataque y permitir así que cualquier persona pudiera realizar dicho ataque script kiddies. Este tipo de políticas estarían basadas en las siguientes ideas no desprovistas de polémica:[1][2]
- La amenaza de publicar una vulnerabilidad es tan buena como el hecho real de publicarla.
- La información sobre la vulnerabilidad debería ser compartida por el menor número de personas posible hasta que se desarrolle un parche que solucione la vulnerabilidad. Siguiendo este precepto no se debería revelar la información de forma pública sino dársela primero al proveedor del software e idealmente mantenerla secreta hasta que el parche que soluciona la vulnerabilidad esté disponible.
- Para evitar que el proveedor retrase demasiado la publicación del parche que arregla la vulnerabilidad, se pueden establecer tiempos límites en los que el proveedor tiene que mostrar avances en la construcción del parche. Si no se cumplen el originador puede proceder a hacer una revelación completa de la vulnerabilidad. Se trata de dotar al proveedor de cierta ventaja frente a atacantes maliciosos para poder desarrollar el parche que arregle la vulnerabilidad, pero sin darle potestad para retrasar indefinidamente la publicación de la información.
- No es necesario tener acceso a toda la información sobre la vulnerabilidad para poder defenderse de ella. Se promueve que en la revelación de una vulnerabilidad no se de provea de un exploit ni se den detalles que se puedan utilizar para la construcción del mismo.
- A veces es interesante designar un coordinador entre el informador de la vulnerabilidad y el proveedor.
