最近網安圈有白帽子頻繁以個人名義披露各家廠商的安全漏洞，著實為各家廠商以及安全從業(yè)人員敲響了警鐘。反觀整個事件，我們換個角度，漏洞真的是以個人或者組織名義想報就能報的嗎?今天小編也借這個機會，和各位來共同探討下這個問題。

[[339202]]

先拋出我們的觀點，不管是個人還是組織，如果找到了哪家安全廠商的產品漏洞，不論是從維護整個網絡安全產業(yè)秩序的角度出發(fā)，還是從個人保護自己的角度出發(fā)，都建議大家按照《網絡安全漏洞管理規(guī)定》，依法披露漏洞。

從維護整個網絡安全產業(yè)秩序，共建和諧社會的角度來看。安全產品需要維護，不斷更新和迭代以適應不斷變化的網絡安全環(huán)境。技術的發(fā)展使得安全攻防隨之升級，這個過程難免會發(fā)現漏洞。一般而言，廠商在知道了自己有漏洞的前提下，一定會第一時間組織力量修復漏洞，維護用戶安全。試想下如果在沒有通知 CNVD 和廠商的角度下，私自暴露漏洞，黑客可能會第一時間利用漏洞進行對用戶的攻擊，給用戶和整個社會直接帶來損失。這個一定是我們不想看到的。

從保護個人的角度，在未通知廠商的前提下披露漏洞的行為，本身就已經違反了《網絡安全漏洞管理規(guī)定(征求意見稿)》，筆者了解到，其實多部委一直在共同協(xié)商，不斷完善相關法律條款，管理這類行為。由于漏洞披露導致了部分用戶被黑客攻擊，進而造成用戶的巨大損失，漏洞的違法披露者是難辭其咎的。所以建議廣大的白帽還是要學會保護自己，依法披露漏洞。

網絡安全漏洞披露已成為網絡安全風險控制的中心環(huán)節(jié)。不規(guī)范或非法的網絡安全漏洞披露危害網絡空間整體安全，凸顯出法律規(guī)定的灰色地帶。同時，國內外不同主體基于不同動機和利益驅動，開展了廣泛的網絡安全漏洞披露實踐，并已經引發(fā)各方對不利法律后果的反思。

Q1：最近關于漏洞披露問題討論很多，關于漏洞相關的披露機制是怎樣的?

A1：一般情況下，當發(fā)現一個漏洞之后，可以先上報國家信息安全漏洞共享平臺 CNVD(China National Vulnerability Database，)，CNVD 通知廠商需要在 90/10 天內修復，廠商采取漏洞修補或防范措施后再予以公開，這樣能最大程度的保護用戶的安全，同時促進整個行業(yè)有序發(fā)展。如果發(fā)現漏洞而沒有上報 CNVD，而是直接披露，這是有一定風險和隱患的。

Q2：漏洞披露有哪幾種類型，原則是什么?

A2：常見的披露類型主要有不披露、完全披露、負責任的披露和協(xié)同披露四種。

漏洞被發(fā)現后，就進入了漏洞披露階段。漏洞發(fā)現者有可能不披露漏洞，對安全漏洞的相關信息完全保密，既不報送給廠商，又不向公眾公開這就是不披露。與此相反，漏洞發(fā)現者也可能公開完全披露相關的漏洞信息，未事先對廠商進行告警，廠商沒有充分的時間修復漏洞，漏洞信息也直接暴露給了潛在的惡意攻擊者，這就是完全披露，也被稱作不負責任的披露。

漏洞發(fā)現者先報送漏洞，待廠商修復漏洞后，廠商再公告相關漏洞信息并發(fā)布補丁，這就是負責人的披露。當然，實踐過程中漏洞發(fā)現者和廠商也可能存在爭議。在負責任披露的基礎上，引入了協(xié)調者，協(xié)調者通常在各方利益相關者之間扮演信息傳達或信息經紀人的角色，這就是協(xié)同披露。

原則上，一般采用的是負責任的披露。協(xié)同披露強調漏洞信息的共享，各方的協(xié)同合作，更為有利于保護網絡安全。

Q3：漏洞披露違規(guī)存在什么樣的風險?

A3：首先是用戶安全風險。

違規(guī)披露漏洞，會導致漏洞傳播。許多知名的開放社區(qū)都是零門檻的，很多黑客也埋伏在其中，這就導致了漏洞被公開后的一段時間內容黑客活動激增。在廠商發(fā)布漏洞補丁和用戶更新之前，這樣的安全風險是難以把控的。一個著名的例子就是 Mirai 僵尸網絡，該僵尸網絡在 2016 年攻擊了美國的物聯(lián)網設備，使美國多個城市的互聯(lián)網癱瘓。實際上最初，它是用于對 Telnet 的嵌入式監(jiān)聽設備進行暴力攻擊。后來，Mirai 源代碼被發(fā)布到開源社區(qū)，產生了模仿版本，用于對通過 SecureShell(SSH) 的監(jiān)聽硬件進行暴力攻擊。直到今年，Mirai 變體仍然對嵌入式 Linux 系統(tǒng)構成持續(xù)不斷的威脅。

其次是法律風險。安全從業(yè)人員違規(guī)披露漏洞，不僅破壞了行業(yè)規(guī)則，也給自己帶來了法律風險。《中華人民共和國網絡安全法》規(guī)定，開展網絡安全認證、檢測、風險評估等活動，向社會發(fā)布系統(tǒng)漏洞、計算機病毒、網絡攻擊、網絡侵入等網絡安全信息，應當遵守國家有關規(guī)定。根據《網絡安全漏洞管理規(guī)定(征求意見稿)》的規(guī)定，第三方組織或者個人不得在網絡產品、服務提供者和網絡運營者向社會或用戶發(fā)布漏洞修補或防范措施之前發(fā)布相關漏洞信息，不得發(fā)布和提供專門用于利用網絡產品、服務、系統(tǒng)漏洞從事危害網絡安全活動的方法、程序和工具。2017 年，網易 SRC 指責白帽子違反漏洞測試原則，在未經網易及 NSRC 授權的情況下，擅自公開披露漏洞細節(jié)，讓廣大網易產品用戶置于潛在的風險中，強調違刑必究。

Q4：漏洞披露者如何避免法律風險?

A4：需要遵守相關法律法規(guī)，按照規(guī)范化流程進行。

一般是先上報 CNVD，CNVD 通知廠商在 90/10 天內修復，再對漏洞進行披露。漏洞的報送和披露，國內基本形成國家安全漏洞庫，第三方漏洞平臺和企業(yè) SRC 或 PSIRT 并存的結構。像這次事件的深信服，對漏洞檢測也是持開放態(tài)度，國內不少企業(yè)機構都對漏洞發(fā)現者予以獎勵。

網絡安全漏洞披露集結了政府部門、產品和服務提供者、第三方研究機構、網絡安全服務機構、用戶、黑客或「白帽子」等多方利益相關者及其協(xié)調關系，所有利益相關者均應肩負起應有的法律責任，共同推動網絡社會的有序運行。

互聯(lián)網空間始終不是法外之地，尤其是當我們進入萬物互聯(lián)時代，任何舉措都可能對用戶、企業(yè)、市場造成影響。所以這也要求每一個人，遵守規(guī)則，尊重法律法規(guī)，共同維護網絡空間的安全和諧。未來，我們也希望，隨著法律、法規(guī)的進一步健全，隨著網絡安全市場的成熟，代表網絡正義的「白帽子」們，也將發(fā)揮更大的力量。