Google срывает покровы: уязвимости будут публиковать мгновенно

Ключевые моменты

• Проект Google Project Zero даёт разработчикам 90 дней на исправление ошибки и 30 дней на внедрение патча
• «Задержка обновления» означает, что обновление становится доступным слишком долго
• Предоставление более подробной информации повысит уровень прозрачности

Компания Google взяла на себя обязательство внести изменения в свою политику раскрытия информации в рамках проекта Project Zero, чтобы быстрее сообщать подробности о безопасности и тем самым повысить уровень безопасности, предоставив разработчикам более быстрый доступ к подробной информации об уязвимостях.

Проект Zero, запущенный в 2021 году, работает по принципу «90+30»: у разработчиков есть 90 дней на исправление обнаруженной ошибки, а у пользователей — ещё 30 дней на установку патча, если ошибка была исправлена в течение 90 дней.

Видео от DGL.RU

Однако с тех пор возник так называемый «промежуток между исправлениями», когда время между выпуском исправления и его получением нижестоящими поставщиками превышает оптимальные значения, что увеличивает срок жизни уязвимостей.

Проект Google «Project Zero» раскроет ещё больше информации

Новая политика в отношении судебных разбирательств повысит прозрачность отчётности за счёт раскрытия информации о поставщике или проекте с открытым исходным кодом, о затронутом продукте, дате подачи отчёта и 90-дневном сроке раскрытия информации.

Об изменениях сообщил Тим Уиллис из Project, который пояснил: «Для конечного пользователя уязвимость не устраняется, когда поставщик A выпускает патч для поставщика B. Она устраняется только тогда, когда пользователь загружает обновление и устанавливает его на своё устройство».

«Получив заблаговременный сигнал о том, что об уязвимости сообщили вышестоящему разработчику, мы можем лучше проинформировать нижестоящих разработчиков», — написал Уиллис.

Google надеется, что обновление Project Zero, в котором будет больше подробностей, поможет общественности отслеживать, сколько времени проходит с момента, когда поставщик выпускает обновление, до момента, когда оно становится доступным на конечном устройстве. Уиллис объяснил, что цель состоит в том, чтобы создать среду, в которой прозрачность является нормой и ожидаемым результатом

Уиллис подчеркнул, что «не будет раскрыто никаких технических подробностей, демонстрационного кода или информации, которая, по нашему мнению, может существенно помочь в обнаружении уязвимости». Таким образом, более ранние сообщения не дадут злоумышленникам преимущества.

Лучшее облачное хранилище для бизнеса в 2025 году: безопасность и комфорт