Тайните на кода: Как американските разузнавателни служби използват уязвимостите в софтуера

Годишният доклад за процеса на управление на уязвимостите (VEP) за финансовата 2023 година (FY23) разкрива интересни подробности за това как американските разузнавателни и федерални агенции управляват софтуерните уязвимости.

През годината в рамките на процеса са разкрити 39 уязвимости, сред които:

• 29 нови уязвимости, установени през отчетния период;
• 10 уязвимости, преразгледани от предишни години и разкрити след допълнителна оценка.

Основни наблюдения:

• Състоянието на кръпките е неизвестно: В доклада се посочва, че не се проследява информация за това дали разработчиците са отстранили недостатъците. Това показва значителен пропуск в прозрачността и в оценката на това как разкриването на уязвимости влияе върху цялостната сигурност на софтуера.
• Ревизирани уязвимoсти (10 случая): Тези уязвимости вероятно са били запазени за вътрешна правителствена употреба, която може да включва шпионски или нападателни операции. Това е в съответствие с практиката за запазване на някои уязвимoсти с цел стратегическо предимство.
• Липса на информация за обхвата на процеса: В доклада на VEP липсват данни за това колко уязвимoсти са били прегледани, но не са били разкрити. Това прави невъзможно да се прецени колко уязвимoсти първоначално са били разглеждани с цел разкриване, но са били запазени за оперативни нужди. Такава информация би могла да даде представа за баланса между обществената безопасност и националния интерес.

VEP продължава да бъде важен, но не напълно прозрачен механизъм за вземане на решения дали да се разкрият уязвимостите в софтуера или да се запазят в интерес на националната сигурност. Липсата на данни за внедряването на пачове и за общия брой прегледани уязвимости обаче ограничава разбирането на широката общественост за ефективността на VEP.