Opera:发现浏览器漏洞后该做什么
2008-12-17 13:41:51 来源:WEB开发网 闂傚倸鍊搁崐鎼佸磹閹间礁纾归柟闂寸绾惧綊鏌熼梻瀵割槮缁炬儳缍婇弻鐔兼⒒鐎靛壊妲紒鐐劤缂嶅﹪寮婚悢鍏尖拻閻庨潧澹婂Σ顔剧磼閹冣挃闁硅櫕鎹囬垾鏃堝礃椤忎礁浜鹃柨婵嗙凹缁ㄧ粯銇勯幒瀣仾闁靛洤瀚伴獮鍥敍濮f寧鎹囬弻鐔哥瑹閸喖顬堝銈庡亝缁挸鐣烽崡鐐嶆棃鍩€椤掑嫮宓佸┑鐘插绾句粙鏌涚仦鎹愬闁逞屽墰閹虫捇锝炲┑瀣╅柍杞拌兌閻ゅ懐绱撴担鍓插剱妞ゆ垶鐟╁畷銉р偓锝庡枟閻撴洘銇勯幇闈涗簼缂佽埖姘ㄧ槐鎾诲礃閳哄倻顦板┑顔硷工椤嘲鐣烽幒鎴旀瀻闁规惌鍘借ⅵ濠电姷鏁告慨顓㈠磻閹剧粯鈷戞い鎺嗗亾缂佸鏁婚獮鍡涙倷閸濆嫮顔愬┑鐑囩秵閸撴瑦淇婇懖鈺冪<闁归偊鍙庡▓婊堟煛鐏炵硶鍋撻幇浣告倯闁硅偐琛ラ埀顒冨皺閺佹牕鈹戦悙鏉戠仸闁圭ǹ鎽滅划鏃堟偨缁嬭锕傛煕閺囥劌鐏犻柛鎰ㄥ亾婵$偑鍊栭崝锕€顭块埀顒佺箾瀹€濠侀偗婵﹨娅g槐鎺懳熺拠鑼舵暱闂備胶枪濞寸兘寮拠宸殨濠电姵纰嶉弲鎻掝熆鐠虹尨宸ョ€规挸妫濆铏圭磼濡搫顫嶇紓浣风劍閹稿啿鐣烽幋锕€绠婚悹鍥у级瀹撳秴顪冮妶鍡樺鞍缂佸鍨剁粋宥夋倷椤掍礁寮垮┑鈽嗗灣閸樠勭妤e啯鍊垫慨妯煎亾鐎氾拷

中国人发现了IE浏览器安全漏洞已经闹得满城风雨,由于漏洞信息的过早透露,全球数亿用户被暴露在各种潜在攻击之下。
刚发现一篇 Opera 安全策略的文档翻译,或许对漏洞研究者们有些帮助,尽管文章讲的是相关 Opera 的内容,但包含了所有浏览器安全漏洞处理的行业惯例。发现漏洞是您的能力,妥善处理您发现的漏洞才是善莫大焉。全文如下(删除了一些 Opera 相关的信息,着重在行业惯例,文中我们指 Opera 团队):
英文全文在:
http://www.opera.com/security/policy/
如何处理安全报告
安全性问题总是具有最高的优先级。当我们收到安全报告, 会尽快评估潜在的威胁。当被确认为安全性问题, 我们会立即联系报告者。作为行业惯例, 报告者会同意接受一个对外公布问题的日期。
公布日期由具体情况决定。在公布之前会有时间允许准备和测试修复, 并检查是否有其它相关问题。同时, 这样保证用户在没有任何升级手段的情况下不被公开的安全脆弱性所影响。
如果必要, 报告者也会被询问如何重现问题的详细信息。有时候, 可能的安全问题会被发现并不是可被利用的漏洞。如果合适, 我们会与报告者联系并告知我们不认为其为安全问题的具体解释。
如何公布安全脆弱性
在报告者所同意的日期, 我们会发布安全建议。同时公布问题细节以及针对此问题我们的解决方案, 大部分情况下, 解决方案是推荐升级最新官方发布的版本。一般来说, 此建议会与新 Opera 版本同时发布, 该版变更日志会提到问题并给出建议的链接。初始报告者一般会被致谢。一条安全建议通常不会解释如何利用问题进行攻击, 但会提供足够的信息识别该问题。
安全性问题评级
当安全机构报告一个问题, 它们一般会包含严重性评级,这是基于攻击漏洞的难度和潜在危害作出的评级。举例包含:
- 导致应用崩溃并不能被重启
- 使得一个网站有伪装另外网站的可能性
- 执行任意代码的能力
- 读取其它站点登录信息和用户系统上的文件的能力
在调查问题的过程中, 会发现更多利用问题进行攻击的难易度信息。某些情况下,我们可能发现报告者给了一个问题过高或过低的评级。这可能意味着我们会更新问题评级, 基于我们对问题的了解。将来的进一步调查过程中可能也会改动评级。
若 Opera 是唯一受影响的程序
我们偶尔会发现一个问题会影响其它提供商的应用。这种情况下, 若初始报告者未联系该应用提供商, 我们可能会联系受影响的厂商。
此类情况下, 公布日期可能会推迟到受影响的厂商发布它们自己的补丁。网络的安全依赖于厂商的合作以保护所有用户。在厂商有机会做出修复之前公开脆弱性问题细节会将用户置于危险的境地。安全建议往往由报告者和厂商发布于新的日期。如果在此之前修复好的版本已经发布, 它的变更日志可能不会包含脆弱性的细节信息, 但应该包含说明表示这是安全性更新, 之后加入更多细节。
- ››浏览器Cookie:一半广告 一半隐私
- ››浏览器Skyfire将推出iPad版,支持Flash
- ››Opera Mobile for Android 即将到来
- ››Opera 10.63 正式版 - 改善百度搜索建议等
- ››发现数据库对象的依赖关系
- ››浏览器中的内存泄露(重新整理ing)
- ››浏览器已经去过多少个网站
- ››Opera升级Android版Opera Mini手机浏览器
- ››Opera Mini 5.1 正式版 for Android 中文版发布
- ››Opera Mini 5.1 for Android 浏览器
- ››Opera Mini用户喜欢手机第三名iphone
- ››Opera mini For iPhone&iPodtouch 折腾能用记
更多精彩
赞助商链接