Un chercheur en sécurité externe a découvert une vulnérabilité non publiée dans un produit d'une entreprise. Quelle façon de procéder est la plus appropriée selon l'idée de divulgation coordonnée des vulnérabilités (Coordinated Vulnerability Disclosure) ?

Réponse : C. Signaler la vulnérabilité de façon confidentielle au développeur (ou à un organisme de coordination), convenir du délai nécessaire pour préparer un correctif, et publier les informations sur la vulnérabilité en même temps que le correctif

Publier des détails avant qu'un correctif soit disponible permet aux attaquants d'exploiter la vulnérabilité les premiers, alors que les utilisateurs n'ont aucun moyen de se protéger. Dans la divulgation coordonnée, celui qui a trouvé la vulnérabilité la signale confidentiellement au développeur, les deux conviennent du délai dont le développeur a besoin pour préparer un correctif, et les informations sont publiées avec le correctif (un délai comme 90 jours est souvent fixé). Au Japon existe l'« Information Security Early Warning Partnership », coordonné par l'IPA et le JPCERT/CC, et les informations sur les vulnérabilités coordonnées sont publiées sur JVN. Les programmes de bug bounty, dans lesquels des entreprises récompensent ceux qui signalent des failles, favorisent aussi la divulgation coordonnée en fixant à l'avance les canaux et les règles de signalement.