Ledger и Trezor выступили за стандартизацию раскрытия уязвимостей

7 сентября технический директор Ledger Шарль Гийме опубликовал открытое письмо, в котором призвал сделать координированное раскрытие уязвимостей отраслевой нормой. Эта инициатива получила поддержку со стороны Trezor, Foundation, AnchorWatch, SEAL и других участников рынка. Гийме отметил, что с развитием искусственного интеллекта процесс поиска уязвимостей стал проще, но это также увеличивает риски.

ИИ сделал поиск уязвимостей дешевым, но не сделал ответственное раскрытие необязательным

В письме Гийме описал стандартный процесс координированного раскрытия, который включает четыре этапа: исследователь сообщает о проблеме компании, команда подтверждает ее и согласовывает срок исправления. В качестве базового ориентира он предложил 90 дней, хотя этот срок может варьироваться в зависимости от серьезности уязвимости и сложности патча.

Гийме выделил три основные проблемы, связанные с раскрытием уязвимостей: повторное использование исправленных ошибок, полное раскрытие уязвимости до выхода патча и публикация тизеров о критических уязвимостях с целью привлечения внимания. 'Безопасность по-прежнему игра в кошки-мышки, но с гораздо большим количеством кошек, и страдает пользователь', — добавил он.

Это не бюрократия. В этом разница между повышением безопасности экосистемы и созданием угрозы для пользователей ради нескольких лайков

В качестве призывов к действию Гийме рекомендовал пользователям своевременно обновлять прошивки и приложения, новым исследователям — передавать подтвержденные находки через официальные программы раскрытия, а компаниям — поддерживать координированное раскрытие и вознаграждать исследователей.

Глава отдела безопасности Trezor Ян Комарек прокомментировал инициативу, подчеркивая, что обнаружение уязвимостей не означает провал системы защиты. Он отметил, что безопасность — это постоянный процесс и его нарушение может привести к серьезным последствиям, особенно в криптовалютной индустрии.

Вторичный ущерб регулярно оказывается серьезнее того, который могла бы причинить сама ошибка

Комарек также поддержал ориентир в 90 дней для исправления уязвимостей, указав, что это обязательство как для исследователей, так и для производителей. В связи с недавним инцидентом в биткоин-сайдчейне Liquid Network, где было выведено около 4000 BTC, Комарек подчеркнул необходимость ответственного раскрытия информации о уязвимостях.