사이버 공격과 방어의 실무
외부 보안 연구자가 어떤 기업의 제품에서 공표되지 않은 취약점을 발견했다. 조정된 취약점 공개(Coordinated Vulnerability Disclosure)의 사고방식에 따른 진행 방법으로 가장 적절한 것은?
- A사용자에게 빨리 알리기 위해, 발견한 당일에 공격 방법도 포함하여 자세히 인터넷에 공표한다
- B개발사에 보고하면 충분하므로, 수정이 나온 후에도 취약점이 있었다는 사실은 사용자에게 알리지 않는다
- C개발사(또는 조정을 수행하는 기관)에 비공개로 보고하고, 수정을 준비하는 기간을 조정한 뒤 수정 공개에 맞추어 취약점 정보를 공표한다
정답과 해설 보기
정답: C. 개발사(또는 조정을 수행하는 기관)에 비공개로 보고하고, 수정을 준비하는 기간을 조정한 뒤 수정 공개에 맞추어 취약점 정보를 공표한다
수정이 나오기 전에 자세한 정보를 공표하면 공격자가 먼저 악용할 수 있어, 사용자는 지킬 수단이 없는 채로 위험에 노출됩니다. 조정된 공개에서는 발견자가 개발사에 비공개로 보고하고, 개발사가 수정을 준비할 때까지의 기간을 양측이 조정하여 수정 공개에 맞추어 정보를 공표합니다(90일 등의 기한을 정해 진행하는 경우가 많습니다). 일본에서는 IPA와 JPCERT/CC가 조정하는 '정보 보안 조기 경계 파트너십' 제도가 있으며, 조정한 취약점 정보는 JVN에서 공표됩니다. 기업이 보고자에게 포상금을 지급하는 버그 바운티 제도도 보고 창구와 규칙을 미리 제시함으로써 조정된 공개를 촉진합니다.