De ontwikkelaars van OpenSSL hebben voor het eerst hun beveiligingsbeleid gepubliceerd waarin staat hoe ze met beveiligingsproblemen omgaan. OpenSSL is één van de meest gebruikte software voor het versleutelen van internetverbindingen, bijvoorbeeld tussen websites en hun bezoekers.

In april van dit jaar werd de zeer ernstige Heartbleed-bug in OpenSSL ontdekt, waardoor aanvallers informatie uit het geheugen van webservers konden stelen, zoals wachtwoorden. "Recente lekken hebben de aandacht van de media gekregen en onderstreept hoeveel van de internetinfrastructuur op OpenSSL is gebaseerd", aldus de ontwikkelaars.

"We hebben nooit ons beleid gepubliceerd hoe we intern met beveiligingsproblemen omgaan. Dat proces is gebaseerd op ervaring en heeft zich door de jaren heen ontwikkeld." In het beveiligingsbeleid staat dat er een e-mailadres is voor het melden van beveiligingslekken. Zodra iemand een kwetsbaarheid meldt of de ontwikkelaars die zelf vinden, wordt eerst de ernst van het lek bepaald.

Samenwerking

Tijdens het onderzoek naar gevonden problemen werken de ontwikkelaars samen met individuen en organisaties die geen onderdeel van het ontwikkelteam zijn. "We doen dit omdat uit het verleden blijkt dat ze waarde toevoegen aan onze kennis van het probleem en de mogelijkheid om patches te testen", aldus de ontwikkelaars. Zodra er een update gereed is die beveiligingslekken verhelpt zal dit via de OpenSSL-announce mailinglist en de website worden aangekondigd.

Voor updates die ernstige problemen oplossen worden er meer details gegeven. Ontwikkelaars van besturingssystemen waar OpenSSL in wordt gebruikt worden van tevoren ingelicht, zodat ze hun packages kunnen klaarmaken.

Als laatste stellen de ontwikkelaars dat niet alle lekken direct aan hen worden gemeld. Sommige kwetsbaarheden zijn afkomstig van bedrijven die voor lekken betalen of via Computer Emergency Response Teams. "Deze tussenpersonen, of de onderzoekers zelf, kunnen een andere manier van melden volgen. Dat is hun goed recht en staat buiten de controle van het OpenSSL-team."