Med glavnimi temami leto\u0161nje izvedbe konference eti\u010dnega hekinga HEK.SI bo odgovorno razkrivanje varnostnih ranljivosti v informacijskih sistemih. O tem bo na konferenci, ki bo potekala 6. in 7. aprila v Ljubljani, spregovoril tudi vodja centra SI-CERT Gorazd Bo\u017ei\u010d. Vodja nacionalnega odzivnega centra za obravnavo incidentov s podro\u010dja varnosti elektronskih omre\u017eij SI-CERT bo spregovoril o odgovornem razkrivanju ranljivosti na primeru Ajpesa. Pred kratkim je namre\u010d tehnolo\u0161ki novi\u010darski portal Slo-Tech na podlagi ugotovitev neimenovanih varnostnih raziskovalcev razkril ve\u010d resnih varnostnih ranljivosti na spleti\u0161\u010du Agencije RS za javnopravne evidence in storitve (Ajpes). SI-CERT je ob tem primeru objavil javno obvestilo o odgovornem razkrivanju ranljivosti. Slednje predvideva, da oseba, ki odkrije ranljivost, to sporo\u010di proizvajalcu, skrbniku sistema ali razvijalcu programske opreme, lahko neposredno ali pa prek neodvisne tretje osebe oziroma koordinatorja. V Sloveniji lahko vlogo koordinatorja opravi tudi SI-CERT. Prijavitelj pri tem uskladi predajo informacij in \u010dasovne okvire za izdelavo popravkov in nadgradenj. Hkrati se obe strani uskladita tudi glede \u010dasovnega roka objav ranljivosti. Obstoje\u010di dokumenti o tem navajajo roke 30, 45 ali celo 60 dni za odpravo napak. Vse stranke v postopku se tudi dogovorijo za na\u010dine objave ranljivosti. Tovrstno odgovorno razkrivanje po navedbah SI-CERT \u0161\u010diti tudi prijavitelja samega in mu omogo\u010da anonimnost. To, da se priznava koristnost postopkov odgovornega razkrivanja, namre\u010d ne pomeni, da lahko kdorkoli brez posledic posku\u0161a vdreti v katerikoli sistem na omre\u017eju, izrablja najdene ranljivosti in objavlja neupravi\u010deno pridobljene podatke. Raziskovalci ranljivosti lahko ob neustrezni predhodni pripravi namre\u010d prestopijo mejo, ko skrbnik sistema ne bo mogel prepoznati, da ne gre za zlonameren vdor in bo zahteval ustrezno ukrepanje organov pregona. Prijavitelj mora tudi vzeti v obzir posledice posku\u0161anj izrabe ranljivosti, med ka<\/p>\n","protected":false},"excerpt":{"rendered":"
Med glavnimi temami leto\u0161nje izvedbe konference eti\u010dnega hekinga HEK.SI bo odgovorno razkrivanje varnostnih ranljivosti v informacijskih sistemih. O tem bo na konferenci, ki bo potekala 6. in 7. aprila v Ljubljani, spregovoril tudi vodja centra SI-CERT Gorazd Bo\u017ei\u010d. Vodja nacionalnega odzivnega centra za obravnavo incidentov s podro\u010dja varnosti elektronskih omre\u017eij SI-CERT bo spregovoril o odgovornem razkrivanju ranljivosti na primeru Ajpesa. Pred kratkim je namre\u010d tehnolo\u0161ki novi\u010darski portal Slo-Tech na podlagi ugotovitev neimenovanih varnostnih raziskovalcev razkril ve\u010d resnih varnostnih ranljivosti na spleti\u0161\u010du Agencije RS za javnopravne evidence in storitve (Ajpes). SI-CERT je ob tem primeru objavil javno obvestilo o odgovornem razkrivanju ranljivosti. Slednje predvideva, da oseba, ki odkrije ranljivost, to sporo\u010di proizvajalcu, skrbniku sistema ali razvijalcu programske opreme, lahko neposredno ali pa prek neodvisne tretje osebe oziroma koordinatorja. V Sloveniji lahko vlogo koordinatorja opravi tudi SI-CERT. Prijavitelj pri tem uskladi predajo informacij in \u010dasovne okvire za izdelavo popravkov in nadgradenj. Hkrati se obe strani uskladita tudi glede \u010dasovnega roka objav ranljivosti. Obstoje\u010di dokumenti o tem navajajo roke 30, 45 ali celo 60 dni za odpravo napak. Vse stranke v postopku se tudi dogovorijo za na\u010dine objave ranljivosti. Tovrstno odgovorno razkrivanje po navedbah SI-CERT \u0161\u010diti tudi prijavitelja samega in mu omogo\u010da anonimnost. To, da se priznava koristnost postopkov odgovornega razkrivanja, namre\u010d ne pomeni, da lahko kdorkoli brez posledic posku\u0161a vdreti v katerikoli sistem na omre\u017eju, izrablja najdene ranljivosti in objavlja neupravi\u010deno pridobljene podatke. Raziskovalci ranljivosti lahko ob neustrezni predhodni pripravi namre\u010d prestopijo mejo, ko skrbnik sistema ne bo mogel prepoznati, da ne gre za zlonameren vdor in bo zahteval ustrezno ukrepanje organov pregona. Prijavitelj mora tudi vzeti v obzir posledice posku\u0161anj izrabe ranljivosti, med ka<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1179],"tags":[],"source":[1711],"supertag":[],"acf":[],"yoast_head":"\n