กูเกิลทยอยลดกรอบเปิดเผยช่องโหว่จาก 90 เหลือ 30 วันภายในปี 2028

กำหนดเวลาเปิดเผยรายละเอียดช่องโหว่หลังแจ้งผู้ให้บริการจะลดจาก 90 วันในปัจจุบันเหลือ 30 วันภายในปี 2028 โดยปรับลดเป็นขั้นตามนโยบายใหม่ของ Project Zero ทีมวิจัยความปลอดภัยของกูเกิล (Google)

Project Zero ประกาศนโยบาย ‘Full X’ เมื่อวันที่ 13 พฤศจิกายน โดยระบุว่าจะเปิดเผยรายละเอียดทางเทคนิคเมื่อครบ X วันนับจากวันที่แจ้งผู้ให้บริการ คำว่า X หมายถึงจำนวนวันตั้งแต่การแจ้งจนถึงการเปิดเผย ซึ่งปัจจุบันกำหนดไว้ที่ 90 วัน

กำหนดดังกล่าวจะลดเหลือ 60 วันในวันที่ 2 กุมภาพันธ์ 2027 และเหลือ 30 วันในวันที่ 3 มกราคม 2028 จึงยังไม่ได้ใช้กรอบเวลา 30 วันกับช่องโหว่ทุกกรณีในตอนนี้

ตั้งแต่ปี 2021 Project Zero ใช้นโยบาย ‘90+30 วัน’ โดยให้ผู้ให้บริการมีเวลาสูงสุด 90 วันเพื่อแก้ไขช่องโหว่ แล้วรอเพิ่มอีก 30 วันเพื่อให้ผู้ใช้มีเวลาได้รับแพตช์

นโยบายใหม่ยกเลิกช่วงรอเพิ่มเติมหลังผู้ให้บริการเผยแพร่แพตช์ Project Zero อธิบายว่า ‘ช่องว่างของแพตช์’ คือช่วงเวลาตั้งแต่มีแพตช์จนผู้ใช้ติดตั้งอัปเดตที่เกี่ยวข้อง และผู้ให้บริการควรเร่งทั้งการแก้ไขและการเผยแพร่

Project Zero ระบุว่าโมเดลภาษาขนาดใหญ่ (LLM) ทำให้ผู้โจมตีค้นหาและใช้ประโยชน์จากช่องโหว่ได้เร็วขึ้น อีกทั้งมีโอกาสมากขึ้นที่หลายฝ่าย รวมถึงผู้โจมตีที่ประสงค์ร้าย จะค้นพบช่องโหว่เดียวกันก่อน

เวลาที่ใช้วิเคราะห์แพตช์เพื่อย้อนหาวิธีทำงานของช่องโหว่ก็สั้นลง Project Zero มองว่าเมื่อผู้โจมตีระบุข้อมูลข้อบกพร่องจากแพตช์ได้แทบจะทันที การรอ 30 วันหลังเผยแพร่แพตช์อาจไม่ช่วยเพิ่มความปลอดภัย

จำนวนช่องโหว่ที่รายงานเพิ่มขึ้นด้วย Project Zero ระบุว่าเป้าหมายการตรวจสอบบางส่วนซึ่งในอดีตพบช่องโหว่ได้เพียงไม่กี่รายการต่อปี ปัจจุบันพบหลายรายการในแต่ละสัปดาห์

ภายใต้นโยบายเดิม Project Zero ต้องหารือกับผู้ให้บริการว่าช่องโหว่ได้รับการแก้ไขแล้วหรือไม่ และควรให้เวลาเพิ่มเติมหรือไม่ ทีมงานระบุว่าขั้นตอนหารือที่เพิ่มขึ้นทำให้ดำเนินนโยบายต่อไปได้ยาก

ระหว่างการพิจารณาเปลี่ยนนโยบาย ผู้ให้บริการรายใหญ่กังวลว่าการลดเวลาอย่างฉับพลันอาจทำให้มีการเปิดเผยช่องโหว่ที่ยังไม่ได้รับการแก้ไขและเพิ่มความเสี่ยงให้ผู้ใช้ พวกเขาระบุว่าผู้โจมตีอาจได้รับข้อมูลช่องโหว่ก่อนที่ผู้ให้บริการจะปรับกระบวนการและเครื่องมือแก้ไข

ผู้ให้บริการยังห่วงว่ากำหนดเวลาที่สั้นอาจทำให้ต้องจัดการข้อบกพร่องความรุนแรงต่ำก่อนปัญหาที่ร้ายแรงกว่า และบางรายอาจเลิกพยายามแก้ไขช่องโหว่หากเห็นว่าไม่สามารถทำได้ทันเวลา

Project Zero จึงเลือกทยอยลดกำหนดเวลาแทนการปรับเป็น 30 วันในครั้งเดียว โดยระบุว่าช่วงเปลี่ยนผ่านจะเปิดโอกาสให้ผู้ให้บริการปรับปรุงกระบวนการรับมือ พร้อมกระตุ้นให้แก้ไขช่องโหว่เร็วขึ้น

ระดับความรุนแรงของช่องโหว่จะไม่เปลี่ยนกำหนดเวลาเปิดเผยตามนโยบายใหม่ Project Zero ระบุว่าจะรายงานช่องโหว่ที่มีความรุนแรงในระดับมีนัยสำคัญและมีผลกระทบด้านความปลอดภัยที่พิสูจน์ได้ในตัวติดตาม โดยระดับความรุนแรงสะท้อนความเสียหายที่อาจเกิดกับผู้ใช้ ไม่ใช่โอกาสที่ผู้โจมตีจะค้นพบข้อบกพร่อง

กรณีที่อาจเปิดเผยก่อนกำหนด ได้แก่ ช่องโหว่ที่กำลังถูกใช้โจมตีผู้ใช้จริง รายละเอียดที่บุคคลภายนอกเปิดเผยไปแล้ว และกรณีที่ผู้ให้บริการร้องขอให้เปิดเผย ช่องโหว่ที่ยืนยันว่าถูกใช้โจมตีจริงจะเปิดเผยหลัง 7 วันตามนโยบายการเปิดเผยช่องโหว่ด้านความปลอดภัยของแอปของกูเกิล ส่วนกรณีที่มีการเปิดเผยรายละเอียดแล้วอาจเปิดเผยได้ทันที

นอกจากนี้ อาจมีข้อยกเว้นในกรณีที่การเปิดเผยจะสร้างความเสียหายแก่ผู้ใช้ในวงกว้าง และการเลื่อนเปิดเผยช่วยป้องกันความเสียหายได้ Project Zero ระบุว่าจะบันทึกข้อยกเว้นไว้ในประวัติการเปิดเผย และในช่วง 12 ปีที่ผ่านมาอนุญาตให้ใช้ข้อยกเว้นดังกล่าว 5 ครั้ง

Project Zero จะติดตามต่อไปว่าช่องโหว่ได้รับการแก้ไขแล้วหรือไม่ และจะสื่อสารกับผู้ให้บริการอย่างต่อเนื่อง อย่างไรก็ตาม การแก้ไขเสร็จสิ้นจะไม่ใช่เกณฑ์กำหนดวันเปิดเผย ทีมงานยังมีแผนเผยแพร่ชื่อผู้ให้บริการ ผลิตภัณฑ์ และวันที่รายงานช่องโหว่ไว้บนหน้าแสดงข้อมูลเพื่อความโปร่งใส