Ik ben benieuwd waarom sommigen vinden dat 'het publiek' als eerste op de hoogte gesteld moet worden. Tussen 'het publiek' zitten immers ook cybercriminelen die de informatie zullen gebruiken t.b.v. nieuwe malware. Indien bedrijven eerst worden ingelicht, en hun verantwoordelijkheid nemen, dan kan je de tijd tussen disclosure en het uitbrengen van patches om de zwakheden te verhelpen tot een minimum beperken. Enige reden om het publiek eerder in te lichten dan de leverancier lijkt mij niet aanwezig ?

@12:46 jopiter: Je geeft zelf al antwoord op je vraag: "als bedrijven hun verantwoordelijkheid nemen". Sommige bedrijven menen redenen te hebben om kwetsbaarheden niet te patchen. Of degene waaraan deze gemeld worden snappen de ernst van de kwetsbaarheid niet.

@13:09 A. N. Oniem. Dat houdt dan nog steeds in dat je die bedrijven toch als eerste hebt ingelicht. Wanneer ze dan inderdaad niet reageren zou je ervoor kunnen kiezen om het openbaar te maken.

Het punt in deze blijft echter dat deze melding aan dovemansoren gericht is ( behalve dan voor degenen die er kwaads mee in de zin hebben), of bezoekers van website zoals deze die er dan voor kunnen kiezen om het bewuste stukje software te verwijderen :)

Om verwarring te voorkomen -
De vraag was:
"Wie moeten hackers als eerste over een lek inlichten?"

Jopiter schreef: Anoniem reageerde om 13.09 uur:
Wanneer een bedrijf niet zijn verantwoordelijkheid neemt nadat het is ingelicht over een lek, dan kan daarna besloten worden tot het eventueel alsnog overgaan tot full-disclosure. (Wat ook Anomiem 14.02 aangaf.)

Het antwoord op de vraag "Wie moeten hackers als eerste over een lek inlichten?" blijft daarmee:
Als eerste de leverancier (responsible disclosure). Eventueel gevolgd door full-disclosure, wanneer de leverancier niet zijn verantwoordelijkheid neemt.
Een andere aanpak is vrij hufterig.

Wie moeten hackers als eerste over een lek inlichten?

* Leverancier (responsible disclosure) (75%)
* Het publiek (full-disclosure) (13%)
* Derde partijen die voor lekken betalen (10%)

Weer een aantal procent verdwenen...

Eerst bij de leverancier, na een ruime tijd pas gaan voor full-disclosure!

Daarbij ga je er vanuit dat de cybercriminelen deze informatie niet hebben. Wat niet het geval hoeft te zijn. Wellicht is het onder het gilde malware makers al veel langer bekend?

Persoonlijk vind ik dat een bug best openbaar gemaakt mag worden zodra het gevonden is. Gelijke monniken, gelijke kappen. Iedereen, gebruikers, fabrikanten, beveiligers en criminelen zijn dan op de hoogte.

Meneer Dobbelsteen (SirDice), met het uitbrengen van een full-disclosure kan het dus heel goed zijn dat jij wordt aangeklaagd voor de gevolgen ervan. Bij bijvoorbeeld Bol.com is een lange tijd een XSS en SQL-lek geweest. Had je dit in een full-disclosure gedaan, dan had Bol enorm veel schade kunnen lijden..

"@12:46 jopiter: Je geeft zelf al antwoord op je vraag: "als bedrijven hun verantwoordelijkheid nemen". Sommige bedrijven menen redenen te hebben om kwetsbaarheden niet te patchen. Of degene waaraan deze gemeld worden snappen de ernst van de kwetsbaarheid niet."

Jouw argumenten zijn per definitie niet van toepassing indien je het bedrijf niet als eerste inlicht. Hoe moet een bedrijf verantwoordelijkheid nemen indien ze -niet- op de hoogte worden gesteld.

"Persoonlijk vind ik dat een bug best openbaar gemaakt mag worden zodra het gevonden is. Gelijke monniken, gelijke kappen. Iedereen, gebruikers, fabrikanten, beveiligers en criminelen zijn dan op de hoogte. "

Je wilt dus de tijd tussen disclosure en patching langer maken, en het risico daarmee groter ? Indien een bug wel al bekend is bij criminelen, dan lijkt het mij eveneens van belang om zo snel mogelijk te patchen, en dus als eerste de fabrikant in te lichten. Indien deze zijn verantwoordelijkheid niet neemt, dan kan je daarna met full disclosure komen.

Dan moeten ze me wel eerst vinden. Er zijn mogelijkheden genoeg om dat anoniem te doen. En om heel eerlijk te zijn vind ik een lekke web applicatie niet zo heel spannend. Het gaat mij meer om bugs in bijv. Windows, OS-X etc.

Ok. Stel je vindt een bug. Je meldt het bij de fabrikant. Die gaat dat (hopelijk) oplossen. In de tijd dat jij het meldt bij de leverancier en dat deze met een patch komt zijn anderen niet op de hoogte. Deze lopen dus risico's zonder dat zij van die risico's op de hoogte zijn. Waarom gaat iedereen er vanuit dat criminelen deze bug niet allang gevonden zouden hebben?

Als iedereen tegelijkertijd op de hoogte wordt gebracht kan iedereen voor zichzelf bepalen wat het risico is. Misschien, omdat je de details van de bug weet, kun je wat instellingen veranderen waardoor je minder of zelfs helemaal niet meer vatbaar bent.

Bij "responsible" disclosure moet de rest van de wereld maar wachten op een patch voor iets waarvan ze niet eens op de hoogte zijn dat het stuk was.

Beetje lachwekkend, een lek geheim houden en mdasap dichten.

Vroeger zou ik zeggen dat als eerst de leverancier ingelicht moet worden.

Maar nu ik zelf als developer werk - en om het minste geringste mijn kop er zowat af gaat als ik een kleine fout maak - vind ik dat die leveranciers ook lekker mogen zweten wanneer hun software brak is en moet dus het publiek als eerste ingelicht worden.

Hoe hoger de druk, hoe beter het product!

Nou van mij mag soweiso de lek altijd publiekelijk bekend worden gemaakt.
Want je moet ook kijken hoe zo iets in de praktijk uit pakt.
Als er een wet is die zegt dat dit niet altijd mag zal de lek niet aan de hoogste bieder worden aangeboden en dat heeft als gevolg dat hackers die het voor het geld doen niet zo hun best doen als hackers om bv. politieke redenen.

Twee om precies te zijn. Het lukt me niet om dit met afrondingsfouten te verklaren (75,49 + 13,49 + 10,49 = 99,47 en da's afgerond 99 in plaats van 100). Wordt een integerdeling gebruikt die altijd naar beneden afkapt? Zou floating point hier geen toegevoegde waarde hebben?