Sikkerhedseksperter advarer om, at EU's regel om oplysning om sårbarhed er risikabelt

Sikkerhedseksperter advarer om, at EU's regel om oplysning om sårbarhed er risikabelt

Tidsstempel: 13. oktober 2023 kl. 3
Security Pros Warn That EU's Vulnerability Disclosure Rule Is Risky PlatoBlockchain Data Intelligence. Vertical Search. Ai.

Den Europæiske Union (EU) kan snart kræve, at softwareudgivere afslører uoprettede sårbarheder til offentlige myndigheder inden for 24 timer efter en udnyttelse. Mange it-sikkerhedsprofessionelle ønsker, at denne nye regel, der er fastsat i artikel 11 i EU's Cyber ​​Resilience Act (CRA), skal genovervejes.

Reglen kræver, at leverandører oplyser, at de kender til en sårbarhed, der aktivt udnyttes inden for en dag efter at have lært om det, uanset patch-status. Nogle sikkerhedseksperter ser potentialet i, at regeringer misbruger kravene til oplysning om sårbarhed til efterretnings- eller overvågningsformål.

I et åbent brev underskrevet af 50 fremtrædende cybersikkerhedsprofessionelle på tværs af industrien og den akademiske verden, blandt dem repræsentanter fra Arm, Google og Trend Micro, argumenterer underskriverne for, at 24-timers vinduet ikke er nok tid - og vil også åbne døre for modstandere, der hopper på sårbarhederne uden at give organisationer nok tid til at løse problemerne.

"Selvom vi værdsætter CRA's mål om at forbedre cybersikkerheden i Europa og udenfor, mener vi, at de nuværende bestemmelser om afsløring af sårbarhed er kontraproduktive og vil skabe nye trusler, der underminerer sikkerheden for digitale produkter og de personer, der bruger dem," hedder det i brevet.

Gopi Ramamoorthy, seniordirektør for sikkerhed og GRC hos Symmetry Systems, siger, at der ikke er nogen uenighed om, hvor presserende det er at lappe sårbarhederne. Bekymringerne fokuserer på at offentliggøre sårbarhederne, før opdateringer er tilgængelige, da det efterlader organisationer i fare for angreb og ude af stand til at gøre noget for at forhindre det.

"At offentliggøre sårbarhedsoplysningerne før patchning har givet anledning til bekymring for, at det kan muliggøre yderligere udnyttelse af de ikke-patchede systemer eller enheder og sætte private virksomheder og borgere i yderligere risiko," siger Ramamoorthy.

Prioriter patching frem for overvågning

Callie Guenther, senior manager for cybertrusselsforskning hos Critical Start, siger, at hensigten bag EU's Cyber ​​Resilience Act er prisværdig, men det er afgørende at overveje de bredere implikationer og potentielle utilsigtede konsekvenser af, at regeringer har adgang til sårbarhedsoplysninger. før opdateringer er tilgængelige.

"Regeringer har en legitim interesse i at sikre national sikkerhed," siger hun. "Men brug af sårbarheder til efterretninger eller offensive kapaciteter kan efterlade borgere og infrastruktur udsat for trusler."

Hun siger, at der skal findes en balance, hvor regeringer prioriterer patchning og beskyttelse af systemer frem for udnyttelse af sårbarheder, og foreslog nogle alternative tilgange til afsløring af sårbarheder, startende med opdelt afsløring.

"Afhængig af sværhedsgraden og virkningen af ​​en sårbarhed kan der indstilles forskellige tidsrammer for offentliggørelse," siger Guenther. "Kritiske sårbarheder kan have et kortere vindue, mens mindre alvorlige problemer kan få mere tid."

Et andet alternativ vedrører foreløbig meddelelse, hvor leverandører kan få en foreløbig meddelelse, med en kort henstandsperiode, før den detaljerede sårbarhed afsløres til et bredere publikum.

En tredje måde fokuserer på koordineret afsløring af sårbarheder, som tilskynder til et system, hvor forskere, leverandører og regeringer arbejder sammen om at vurdere, lappe og afsløre sårbarheder på en ansvarlig måde.

Hun tilføjer, at enhver regel skal indeholde eksplicitte klausuler for at forbyde misbrug af afslørede sårbarheder til overvågning eller stødende formål.

"Derudover bør kun udvalgt personale med tilstrækkelig godkendelse og uddannelse have adgang til databasen, hvilket reducerer risikoen for lækager eller misbrug," siger hun. "Selv med eksplicitte klausuler og begrænsninger er der adskillige udfordringer og risici, der kan opstå."

Hvornår, hvordan og hvor meget skal afsløres

John A. Smith, CEO hos Conversant Group, bemærker, at ansvarlig offentliggørelse af sårbarheder er en proces, der traditionelt har inkluderet en gennemtænkt tilgang, der gjorde det muligt for organisationer og sikkerhedsforskere at forstå risikoen og udvikle patches, før de afslørede sårbarheden for potentielle trusselsaktører.

"Selvom CRA måske ikke kræver dybe detaljer om sårbarheden, er det faktum, at man nu er kendt for at være til stede, nok til at få trusselsaktører til at sondere, teste og arbejde for at finde en aktiv udnyttelse," advarer han.

Fra hans perspektiv bør sårbarheden heller ikke rapporteres til nogen individuel regering eller EU - at kræve dette vil reducere forbrugernes tillid og skade handelen på grund af nationalstaternes spionagerisici.

"Afsløring er vigtig - absolut. Men vi skal afveje fordele og ulemper ved, hvornår, hvordan og hvor mange detaljer, der gives under forskning og opdagelse for at mindske risikoen,” siger han.

Smith bemærker, at et alternativ til denne "formentlig knæfaldende tilgang" er at kræve, at softwarevirksomheder anerkender rapporterede sårbarheder inden for en specificeret, men fremskyndet tidsramme, og derefter kræve, at de rapporterer tilbage om fremskridt til den opdagende enhed regelmæssigt, hvilket i sidste ende giver en offentlig rettelse inden for højst 90 dage.

Retningslinjer for hvordan modtage og videregive sårbarhedsoplysninger, samt teknikker og politiske overvejelser til rapportering, er allerede beskrevet i ISO / IEC 29147.

Påvirkninger ud over EU

Guenther tilføjer, at USA har mulighed for at observere, lære og efterfølgende udvikle velinformerede cybersikkerhedspolitikker, samt proaktivt forberede sig på eventuelle potentielle konsekvenser, hvis Europa bevæger sig for hurtigt fremad.

"For amerikanske virksomheder er denne udvikling af afgørende betydning," siger hun. "Mange amerikanske virksomheder opererer på globalt plan, og reguleringsændringer i EU kan påvirke deres globale aktiviteter."

Hun påpeger, at ringvirkningen af ​​EU's reguleringsbeslutninger, som det fremgår af GDPR's indflydelse på CCPA og andre amerikanske privatlivslove, tyder på, at europæiske beslutninger kunne forudsætte lignende lovgivningsmæssige overvejelser i USA.

"Enhver sårbarhed, der afsløres i hast på grund af EU-regler, begrænser ikke dens risici til Europa," advarer Guenther. "Amerikanske systemer, der anvender den samme software, ville også blive afsløret."

Tidsstempel:

Mere fra Mørk læsning