Es hört sich so an, als ob Ihr Problem darin besteht, dass diese Sicherheitsanfälligkeit größer ist, als Sie zu tun wissen.

Die hier beschriebenen Regeln für eine verantwortungsvolle Offenlegung besagen, dass Sie dies tun sollten Wenden Sie sich an den Anbieter, und verhandeln Sie einen Zeitraum - zwischen 1 Woche und 6 Monaten, abhängig von der Tiefe der erforderlichen Änderungen -, in dem er einen Patch implementieren, Zertifikate widerrufen und erneut ausstellen, Sicherheitsbulletins veröffentlichen usw. kann, bevor Sie loslegen Öffentlichkeit mit Ihren Erkenntnissen. Die Absicht ist, dass Sie am Ende des Verhandlungszeitraums Ihre öffentliche Anerkennung erhalten, aber Ihr Börsengang kann keinen Schaden mehr anrichten - wenn der Anbieter seine Arbeit ordnungsgemäß erledigt hat.

Wenn Sie herausfinden, wie Kontaktieren Sie sie / verhandeln Sie einen Zeitraum für die verantwortungsvolle Offenlegung, veröffentlichen Sie Ihre Ergebnisse am Ende usw., der zu groß für Sie ist, oder Sie wissen nicht, wie Sie anfangen sollen. Dann schlage ich vor, einen bekannten Sicherheitsforscher zu kontaktieren und mit ihm zusammenzuarbeiten wer hat bereits Publikationskanäle eingerichtet. Finden Sie einen großen Namen, der bereits ähnliche Sicherheitslücken veröffentlicht hat, und rufen Sie sie auf! Es hört sich so an, als hätten Sie kein Problem damit, ihre Aufmerksamkeit zu erregen.

Auch herzlichen Glückwunsch! Ich freue mich darauf, Ihren Namen in 6 Monaten auf einem Papier zu sehen!

Eine solche Behauptung ist im Allgemeinen sehr schwerwiegend.

Obwohl es eine verantwortungsvolle Angelegenheit ist, sich an den betreffenden Anbieter zu wenden, sollten Sie auf jeden Fall in Betracht ziehen, die zuständigen Root Store-Sicherheitsteams zu benachrichtigen, da diese für das Design verantwortlich sind. Um dies zu verhindern, müssen die Sicherheitskontrollen evaluiert und angewendet werden. Sie müssen wahrscheinlich direkt mit der Zertifizierungsstelle zusammenarbeiten, um die Probleme festzustellen.

In Bezug auf eine verantwortungsvolle Offenlegung sollten Sie dies auch sofort jeder der Hauptwurzeln melden Ladenbetreiber: Google, Microsoft, Apple, Mozilla. Suchen Sie einfach nach " <vendor> Sicherheitsfehler melden", und das erste Ergebnis zeigt es Ihnen. Dies sind nur einige der betroffenen Anbieter - z. nicht nur die Zertifizierungsstelle.

Wenn Sie sich nicht sicher sind, wie Sie dies tun sollen, anonym bleiben möchten oder Unterstützung bei der Koordinierung benötigen, ermittelt das Chromium-Sicherheitsteam gerne, kontaktiert die entsprechende Zertifizierungsstelle und koordiniert mit der zuständigen Behörde breitere Industrie. Weitere Informationen finden Sie unter https://www.chromium.org/Home/chromium-security/reporting-security-bugs.

Herzlichen Glückwunsch! Klingt nach einem wichtigen Fund.

Generieren Sie zunächst einen Beweis. Das SSL-Zertifikat von github.com klingt nach einem guten Start. Stellen Sie sicher, dass Sie alle Netzwerkspuren behalten, die Sie benötigen, um genau zu zeigen, was passiert ist.

Sie müssen dabei feststellen, ob Sie gegen Gesetze oder T&Cs verstoßen haben. Wenn die CA keine Bug Bounty hat, haben Sie dies mit ziemlicher Sicherheit getan. In diesem Fall ist es wichtig, dass Sie anonym bleiben. Ein Problem hierbei ist, dass Sie möglicherweise bereits während des Tests Ihre Identität preisgegeben haben. Zum Beispiel mussten Sie wahrscheinlich für dieses Zertifikat bezahlen; Wie haben Sie die Zahlung geleistet? Wenn Sie bereits auf nicht anonyme Weise gegen das Gesetz verstoßen haben, schließt dies eine starke Waffentaktik gegen die CA so gut wie aus.

Während es lobenswert ist, dass Sie sich an die CA wenden möchten, sollten Sie dies berücksichtigen Beachten Sie, dass Sie die Möglichkeit haben, diese Sicherheitsanfälligkeit zu verkaufen. Dies wäre möglicherweise 100.000 USD von einer Organisation wie Vupen wert. Es liegt an Ihnen, wie Sie sich dazu fühlen.

Wenn Sie dies offenlegen möchten, können Sie es selbst tun, aber ich stimme Mikes Empfehlung zu, sich an einen etablierten Forscher zu wenden. Ich denke, Sie könnten etwas höher zielen als ein Universitätsforscher. Ein Promi wie Bruce Schnier oder Dan Kaminsky würde sich dafür interessieren. Sie müssten ihnen die Details anvertrauen und ihr Gewicht verwenden, um das Problem ernst zu nehmen.

In Bezug auf CloudFlare, das einen frühen Überblick über HeartBleed erhält, ist dies die Standardpraxis für schwerwiegende Sicherheitslücken - die wichtigsten Anbieter erhalten eine frühe Warnung. Aber das kommt viel später im Prozess. Im Fall von HeartBleed, nachdem Patches entwickelt (aber nicht öffentlich veröffentlicht) wurden. Ich bin mir nicht sicher, wie sich das auf diese Sicherheitsanfälligkeit auswirken würde. Es scheint, dass jedes von der Zertifizierungsstelle ausgestellte Zertifikat jetzt verdächtig ist.

Was auch immer Sie tun, viel Glück!

Wenn Sie sich nicht sicher sind, können Sie sich auch an CERT wenden: https://forms.cert.org/VulReport/

Sie haben Erfahrung im Umgang mit selbst sehr schwerwiegenden Sicherheitslücken. und gelten im Allgemeinen als vertrauenswürdige Partei. Zumindest können sie bestätigen, dass Ihre Einschätzung der Sicherheitsanfälligkeit korrekt ist, und Ihren Beitrag zum Auffinden der Sicherheitsanfälligkeit dokumentieren.

Während CERT Ihnen generell empfiehlt, sich selbst an den Anbieter zu wenden, bin ich mir für einen großen Fall wie diesen sicher Sie würden Hilfe anbieten.

Ryan Sleevi hat diesbezüglich sehr gute Ratschläge.

Bevor ich zu viele Alarme auslöse, würde ich mich wie empfohlen an das Chromium-Sicherheitsteam wenden, um sicherzustellen, dass Sie nichts falsch verstehen.

Haben Sie Ihre Sicherheitsanfälligkeit anhand der Grundanforderungen des CAB-Forums überprüft, um festzustellen, ob die Ausführung Ihrer Sicherheitsanfälligkeit gegen diese Regeln verstößt: https://cabforum.org/baseline-requirements-documents/ ?

Ich kenne beispielsweise eine Ausstellungspraxis, die mit Ihrer Zusammenfassung übereinstimmt, aber AFAIK ist absolut gültig und in den Augen des CAB-Forums keine Sicherheitslücke. Ein Zertifikat kann für eine Subdomain generiert werden, ohne die Kontrolle über das Stammverzeichnis zu haben. Das heißt, Sie können ein Zertifikat für test.google.com erhalten, ohne die Kontrolle über google.com nachweisen zu müssen.

Ich würde empfehlen, dass Sie Dokumentation und Demonstration der Sicherheitsanfälligkeit erhalten, sobald Sie sich dessen bewusst sind. Idealerweise, wenn Sie dies vollständig von einem Dritten überprüfen lassen können, der in die Situation eingelesen wurde.

Um Integritätsprobleme oder die Ablehnung des Hinweises auf die Sicherheitsanfälligkeit gegen Sie durch den Anbieter zu vermeiden, ist ein zusätzlicher Nachweis durch Demonstration / Ausführung erforderlich. Da wir ein Zertifikat beziehen, ist es ideal, eine Zertifikatkette zu erfassen, die den Fehler nachweist. Natürlich ist jede Sitzungserfassung nützlich, die die Vuln in Aktion zeigt.

Ohne vollständige Offenlegung rate ich nur, welchen Beweis Sie sowieso brauchen. Nehmen Sie den Nachweis der Exploit-Dokumentation und des Seeds an öffentlich sichtbaren Orten wie GitHub, Pastebin und E-Mail-Listen. Dies verhindert, dass Sie nicht zurückweisen können, wenn Ihre Beweise stark sind.

Das verbleibende Problem ist die Identität und Kommunikation mit dem Anbieter und der Öffentlichkeit. Ich werde mich nicht darum kümmern, die Offenbarung Ihrer persönlichen Identität nicht zu verwenden, es liegt an Ihnen. Kommunikation, wenn Sie praktisch sein möchten und bereit sind, Fehler zu machen oder nicht mit Erfahrung zu handeln, wenn das Ganze in die Luft sprengt oder seitwärts geht, können Sie den Kontakt herstellen.

Alternativ können Sie sich entweder von der Gemeinde, von EFF oder zumindest von Ihrem Anwalt vertreten lassen. Jemand, der Ihre Interessen schützt, ist ratsam und überlegt sorgfältig, bevor er die Hilfe der Industrie von einem Unternehmen in seiner kommerziellen Eigenschaft annimmt. Ich bin sicher, dass die Community hier einige Auswahlmöglichkeiten für die Repräsentation empfehlen kann, wenn Sie solche Ratschläge einholen.

Es könnte ein ganzes Buch zu diesem Themensatz geschrieben werden. Ich habe versucht, es kurz und aus TLDR herauszuhalten. Gebiet.

Vielen Dank auch für die Zeit, die Sie damit verbracht haben, diese potenzielle Sicherheitsanfälligkeit aufzudecken. Es wird dringend benötigt.

Betriebssystem- und Browseranbieter sind möglicherweise ein guter Ort, um eine solche Sicherheitsanfälligkeit zu melden, da sie die Stammzertifizierungsstellenlisten verwalten. Hier einige relevante Links:

• www.google.com/about/appsecurity/
• www.mozilla.org/en-US/about/governance/policies/ Sicherheitsgruppe / Fehler /
• www.apple.com/support/security/
• technet.microsoft.com/en-us/security/ff852094.aspx

Sie können es auch an "question@cabforum.org" melden. Beachten Sie jedoch, dass die betreffende Zertifizierungsstelle, wenn sie Mitglied des CA / B-Forums ist, diese auch sieht. Dies gilt jedoch auch für alle anderen CA- und Browser-Mitglieder. Eine weitere Möglichkeit besteht darin, dies dem CA Security Council zu melden, einer Organisation der 8 größten öffentlichen SSL-Emittenten der Welt. Dies ist eine Branchengruppe, die ein Interesse daran hat, hohe Standards für ihre Mitglieder aufrechtzuerhalten und Best Practices unter allen Zertifizierungsstellen zu fördern. Das Formular finden Sie hier: https://casecurity.org/contact-us/