Coordinated Disclosure nedir?
Coordinated Vulnerability Disclosure
Güvenlik açığının sistem sahibi önlem alana kadar gizli tutulup ardından planlı bir şekilde kamuoyuna duyurulması sürecidir.
Tanım
Koordineli güvenlik açığı ifşası (coordinated disclosure), siber güvenlik araştırmacıları ile yazılım üreticileri arasındaki iş birliği modelidir. Araştırmacı bulduğu kritik açığı doğrudan herkese duyurmak yerine önce geliştiriciye bildirir ve yama hazırlanması için makul bir süre tanır. Düzeltme yayınlandıktan sonra açık kamuoyuyla paylaşılarak kullanıcıların sistemlerini güncellemeleri teşvik edilir.
Nasıl çalışır?
Araştırmacı açığı tespit eder ve üreticinin güvenlik ekibine teknik ayrıntıları içeren özel bir rapor iletir. Taraflar çözüm için belirli bir zaman takvimi üzerinde anlaşır. Üretici yamayı hazırlayıp yayınladığı anda veya kararlaştırılan sürenin sonunda bulgu resmi olarak açıklanır.
Nerede kullanılır?
Sorumlu siber güvenlik araştırmalarında, ödül avcılığı (bug bounty) programlarında ve büyük teknoloji şirketlerinin güvenlik süreçlerinde uygulanır.
Sık karıştırılanlar
Sıfırıncı gün ifşası (full disclosure) ile karıştırılır. Tam ifşada açık hiçbir önlem alınmadan doğrudan kamuoyuna duyurulur; koordineli ifşada ise önce yama beklenir.
Sorular ve yanıtlar
Şirket açığı düzeltmezse ne olur?
Araştırmacılar genellikle 60 veya 90 günlük makul bir sürenin ardından kullanıcıları korumak amacıyla açığı kamuoyuna duyurma hakkını saklı tutar.
Bu sürecin korsan saldırılardan farkı nedir?
Araştırmacı açığı kötüye kullanıp çıkar sağlamaz, aksine sistemi korumak ve güvenli hale getirmek için üreticiyle iş birliği yapar.
İlgili terimler
Bu açıklama TreScout için yapay zekâ ile sade dille hazırlandı · yanlış ya da eksik gördüğünüz bir şey olursa hello@trescout.com. TreScout her gün GitHub, Hacker News ve Hugging Face'te öne çıkanları Türkçe özetler.