Responsible Disclosure: perché è fondamentale in cyber security

Il Responsible Disclosure è un approccio etico alla segnalazione delle vulnerabilità informatiche.

Si tratta di una pratica che prevede la comunicazione delle scoperte di problemi di sicurezza a organizzazioni, aziende o istituzioni, in modo responsabile e cooperativo, per aiutare a risolvere le problematiche e migliorare la sicurezza dei sistemi informatici. In questo modo, sia chi segnala la vulnerabilità sia l’organizzazione interessata possono collaborare per garantire la protezione dei dati e la prevenzione di attacchi informatici.

Il Responsible Disclosure viene spesso utilizzato da ricercatori o hacker etici che vogliono mettere alla prova la sicurezza dei sistemi informatici, senza causare danni o pubblicare informazioni sensibili.

1. Di che cosa si tratta
2. Storia del Responsible Disclosure
3. Tipi di Responsible Disclosure
4. Come effettuare un Responsible Disclosure
5. Perché è fondamentale in cybersecurity la Responsible Disclosure

Di che cosa si tratta

Il Responsible Disclosure o Coordinated vulnerability disclosure riguarda, in pratica, è una procedura tramite la quale un addetto alla sicurezza informatica contatta una società informandola di una falla di sicurezza sul suo sito web, sui suoi servizi o sulle sue applicazioni, in modo da consentirle di correggere quella vulnerabilità prima che questa possa essere utilizzata a fini malevoli da parte di hacker malintenzionati.

Questa pratica è diventata sempre più diffusa negli ultimi anni, grazie alla crescente importanza della sicurezza informatica in tutto il mondo.
Sebbene sia spesso associata ai cosiddetti hacker white hat, ovvero coloro che utilizzano le loro conoscenze informatiche per scopi benefici, la Responsible Disclosure è in realtà un’attività che dovrebbe essere svolta da qualsiasi ricercatore o individuo che scopra una vulnerabilità informatica.

Il motivo di questo è che la divulgazione responsabile delle vulnerabilità può aiutare a prevenire gravi conseguenze, come il furto di dati sensibili o il danneggiamento dei sistemi. Tuttavia, affinché il processo funzioni, è necessario che le aziende rispondano positivamente alla divulgazione delle vulnerabilità e intraprendano azioni tempestive per correggerle.

Storia del Responsible Disclosure

La pratica del responsible disclosure, o divulgazione responsabile, è emersa nei primi anni ’90 come risposta alla crescente preoccupazione per gli impatti negativi della divulgazione non coordinata delle vulnerabilità, che poteva esporre gli utenti a rischi significativi di sicurezza prima che i produttori avessero l’opportunità di mitigare le vulnerabilità.
Inizialmente, non esisteva un consenso su come gestire la divulgazione delle vulnerabilità, portando a dibattiti tra coloro che sostenevano la divulgazione immediata per forzare le aziende ad agire rapidamente e coloro che proponevano un approccio più misurato per evitare danni agli utenti finali.

Nel corso degli anni, si è sviluppato un maggior consenso sull’importanza di lavorare in collaborazione con i produttori di software per correggere le vulnerabilità prima di renderle pubbliche, portando all’adozione di linee guida e standard per il responsible disclosure da parte di aziende, organizzazioni di sicurezza e governi in tutto il mondo.
Organizzazioni come l’Internet Engineering Task Force (IETF) hanno proposto framework e protocolli per standardizzare il processo di segnalazione e risposta alle vulnerabilità, mentre numerose aziende tecnologiche hanno istituito programmi di bug bounty che ricompensano i ricercatori per la segnalazione responsabile delle vulnerabilità.

Oggi, il responsible disclosure è considerato una pratica standard nell’industria della sicurezza informatica, essenziale per proteggere gli utenti e le infrastrutture critiche dagli abusi delle vulnerabilità scoperte, garantendo al contempo che i ricercatori vengano riconosciuti e, talvolta, ricompensati per il loro lavoro nel migliorare la sicurezza del software.

Tipi di Responsible Disclosure

Esistono due tipi di Responsible Disclosure: la divulgazione coordinata e la divulgazione non coordinata.

La divulgazione coordinata

È la forma più comune di Responsible Disclosure.
Si tratta di una procedura in cui il ricercatore di sicurezza informatica comunica alla società la vulnerabilità che ha scoperto e offre il proprio supporto per correggerla. La società ha quindi il compito di verificare la segnalazione e, se necessario, correggere il problema prima che venga diffuso pubblicamente.

La divulgazione coordinata ha numerosi vantaggi.

• permette ai ricercatori di sicurezza di segnalare liberamente e senza danni la vulnerabilità;
• le società possono correggere il problema al più presto, in modo da aumentare la sicurezza degli utenti;
• favorisce la cooperazione tra esperti di sicurezza e società.

La divulgazione non coordinata

È il secondo tipo di Responsible Disclosure e rappresenta un approccio più aggressivo.
In questo caso, il ricercatore di sicurezza informatica divulga pubblicamente la vulnerabilità senza avvisare la società responsabile della sua scoperta.
Anche se questo può sembrare un comportamento non etico, è in realtà un modo per mettere in guardia i potenziali utenti sui rischi di sicurezza e per fare pressione sulla società affinché corregga il problema.

La divulgazione non coordinata può tuttavia creare seri problemi, ad esempio:

• la società non dispone di personale a sufficienza per correggere prontamente la vulnerabilità;
• divulgarla pubblicamente prima di fornirla alla società potrebbe permettere ai criminali informatici di sfruttare la vulnerabilità a loro vantaggio.

Sia la divulgazione coordinata che la non coordinata hanno i loro vantaggi e svantaggi. Sebbene la divulgazione coordinata sia quella maggiormente preferibile, la divulgazione non coordinata può essere utile in caso di ritardi o di scarso interesse nella correzione del problema da parte della società.

Come effettuare un Responsible Disclosure

Questa pratica è importante perché consente ai proprietari di sistemi informatici di correggere eventuali errori o problemi di sicurezza, proteggendo clienti e utenti dalla possibile esposizione a rischi informatici.

1. Scoprire la vulnerabilità
   la prima fase consiste nella scoperta della vulnerabilità.
   Gli esperti informatici devono analizzare il codice e individuare eventuali falle di sicurezza.
2. Valutare il problema
   la seconda fase è quella di valutare il problema e il suo impatto sulla sicurezza del sistema. È importante capire quali sono le conseguenze che possono derivare dalla vulnerabilità e se è possibile sfruttarla per violare il sistema.
3. Comunicare la scoperta al proprietario
   la terza fase consiste nella comunicazione del problema ai proprietari del sistema.
   Gli esperti dovrebbero cercare di contattare la società o la persona responsabile della sicurezza del sistema, attraverso canali ufficiali come email o form di contatto. Nella comunicazione è importante fornire dettagli tecnici sulla vulnerabilità segnalata, spiegare gli effetti che può avere e fornire soluzioni per mitigare i rischi.
4. Dare il tempo per risolvere il problema
   dopo aver comunicato il problema, gli esperti devono dare il tempo necessario ai proprietari del sistema per risolvere la questione.
   In genere, i proprietari del sistema hanno la responsabilità di valutare la vulnerabilità segnalata e di intraprendere azioni volte a risolverla.
5. Segnalare il problema alla comunità
   l’ultima fase consiste nella segnalazione del problema alla comunità informatica, una volta che il problema è stato risolto. La divulgazione di informazioni dettagliate sulla vulnerabilità è importante per informare la comunità e consentire agli utenti di prendere le misure necessarie per proteggere i propri dati.

Perché è fondamentale in cybersecurity la Responsible Disclosure

• Evitare danni economici
  le vulnerabilità non rilevate possono essere sfruttate da criminali informatici per rubare dati o per danneggiare sistemi critici come le infrastrutture critiche, le banche, le società di carte di credito e così via. Questo può sfociare in danni economici considerevoli per le aziende e i clienti, nonché in una perdita di fiducia da parte del pubblico.
• Proteggere la privacy degli utenti
  quando una vulnerabilità viene scoperta e non viene segnalata, gli utenti che utilizzano il sistema vengono esposti al rischio di perdere dati sensibili come le password, i numeri di carta di credito e così via. Se invece la vulnerabilità viene segnalata ai proprietari del sistema, questi possono approfondire il problema e correggerlo prima che si verifichino violazioni della sicurezza.
• Consentire anche ai produttori di sistemi e software di proteggere meglio i propri prodotti
  se i ricercatori della sicurezza informatica scoprono e segnalano le vulnerabilità, i produttori possono correggerle e migliorare il loro prodotto.
  Ciò aiuta a mantenere un alto livello di sicurezza dei sistemi, il che è fondamentale per prevenire futuri attacchi e per mantenere la sicurezza delle informazioni degli utenti.
• Mantenere una relazione di fiducia tra i ricercatori della sicurezza informatica e i proprietari dei sistemi
  se i proprietari dei sistemi rispondono alle segnalazioni di vulnerabilità in modo appropriato, i ricercatori saranno più propensi a segnalare le vulnerabilità scoperte in futuro. Ciò aiuta a creare una cultura di sicurezza collaborativa in cui tutti lavorano insieme per prevenire gli attacchi informatici e proteggere i dati sensibili.