إفصاح كامل (أمن الحاسوب)

يُعدّ الإفصاح المنسق عن الثغرات الأمنية سياسةً يتفق بموجبها الباحثون على الإبلاغ عن الثغرات الأمنية إلى جهة تنسيقية، تقوم بدورها بإبلاغ المورّد، وتتبّع الإصلاحات والتدابير الوقائية، وتنسيق الإفصاح عن المعلومات مع الجهات المعنية، بما في ذلك الجمهور. ^{[ 7 ] [ 8 ]} في بعض الحالات، تكون الجهة التنسيقية هي المورّد. ويقوم مبدأ الإفصاح المنسق عادةً على عدم إبلاغ أي شخص عن ثغرة أمنية إلا بعد أن يُعلن مورّد البرنامج عن ذلك. ^{[ 9 ] [ 10 ]} وبينما توجد استثناءات أو اختلافات لهذه السياسة، يجب أن يكون التوزيع محدودًا في البداية، ويُمنح المورّدون صلاحية الوصول إلى الأبحاث غير العامة. ^{[ 11 ]}

كان الاسم الأصلي لهذا النهج هو "الإفصاح المسؤول"، استنادًا إلى مقال مدير أمن مايكروسوفت سكوت كولب بعنوان "حان وقت إنهاء فوضى المعلومات" ^{[ 12 ]} (في إشارة إلى الإفصاح الكامل). لاحقًا، دعت مايكروسوفت إلى التخلي تدريجيًا عن هذا المصطلح لصالح "الإفصاح المنسق عن الثغرات الأمنية" (CVD). ^{[ 13 ] [ 14 ]}

على الرغم من اختلاف الأسباب، يرى العديد من المختصين أن المستخدمين النهائيين لا يمكنهم الاستفادة من الوصول إلى معلومات الثغرات الأمنية دون توجيهات أو تحديثات من المورّد، لذا فإن مخاطر مشاركة الأبحاث مع جهات خبيثة كبيرة جدًا مقابل فائدة ضئيلة. وكما توضح مايكروسوفت، فإن "[الإفصاح المنسق] يخدم مصالح الجميع من خلال ضمان حصول العملاء على تحديثات شاملة وعالية الجودة للثغرات الأمنية، مع ضمان عدم تعرضهم لهجمات خبيثة أثناء تطوير التحديث." ^{[ 14 ]}

ولمنع البائعين من تأخير الكشف إلى أجل غير مسمى، فإن الممارسة الشائعة في صناعة الأمن، والتي رائدة فيها جوجل، ^{[ 15 ]} هي نشر جميع تفاصيل الثغرات الأمنية بعد مهلة زمنية محددة، عادةً ما تكون 90 أو 120 ^{[ 16 ]} يومًا، وتُخفض إلى 7 أيام إذا كانت الثغرة الأمنية قيد الاستغلال النشط . ^{[ 17 ]}

الإفصاح الكامل هو سياسة نشر المعلومات المتعلقة بالثغرات الأمنية دون قيود في أقرب وقت ممكن، مما يتيح الوصول إليها للجمهور دون أي قيود. وبشكل عام، يعتقد مؤيدو الإفصاح الكامل أن فوائد إتاحة أبحاث الثغرات الأمنية مجاناً تفوق مخاطرها، بينما يفضل معارضوه تقييد نشرها.

يُتيح توفر معلومات الثغرات الأمنية مجانًا للمستخدمين والمسؤولين فهم الثغرات في أنظمتهم والتعامل معها، كما يُتيح للعملاء الضغط على الموردين لإصلاح الثغرات التي قد لا يجد الموردون حافزًا لحلها لولا ذلك. توجد بعض المشكلات الجوهرية المتعلقة بالإفصاح المنسق، والتي يُمكن حلها بالإفصاح الكامل.

• إذا لم يكن العملاء على دراية بالثغرات الأمنية، فلن يتمكنوا من طلب التحديثات، ولن يواجه البائعون أي حافز اقتصادي لتصحيح الثغرات الأمنية.
• لا يستطيع المسؤولون اتخاذ قرارات مستنيرة بشأن المخاطر التي تهدد أنظمتهم، حيث أن المعلومات المتعلقة بنقاط الضعف مقيدة.
• يملك الباحثون الخبيثون الذين يعرفون أيضاً عن هذا الخلل فترة زمنية طويلة لمواصلة استغلاله.

إن اكتشاف عيب أو ثغرة معينة ليس حدثًا حصريًا متبادلًا، إذ يمكن للعديد من الباحثين ذوي الدوافع المختلفة اكتشاف نفس العيوب بشكل مستقل.

لا توجد طريقة قياسية لإتاحة معلومات الثغرات الأمنية للجمهور، وغالبًا ما يستخدم الباحثون قوائم بريدية مخصصة لهذا الموضوع، أو أوراقًا أكاديمية، أو مؤتمرات صناعية.

عدم الإفصاح هو السياسة التي تنص على أنه لا ينبغي مشاركة معلومات الثغرات الأمنية، أو لا ينبغي مشاركتها إلا بموجب اتفاقية عدم إفصاح (سواء كانت تعاقدية أو غير رسمية).

يشمل المؤيدون الشائعون لعدم الإفصاح بائعي الاستغلال التجاريين، والباحثين الذين يعتزمون استغلال العيوب التي يجدونها، ^{[ 5 ]} ومؤيدي الأمن من خلال التعتيم .

في عام ٢٠٠٩، أعلن تشارلي ميلر ، ودينو داي زوفي، وألكسندر سوتيروف، خلال مؤتمر كانسيك ويست، عن حملة "لا مزيد من الثغرات المجانية"، مُشيرين إلى أن الشركات تستغل باحثي الأمن وتستفيد منهم بعدم دفع أجور لهم مقابل الكشف عن الثغرات. ^{[ ١٨ ]} وقد تصدّر هذا الإعلان عناوين الأخبار، وأثار نقاشًا أوسع حول المشكلة والحوافز المرتبطة بها. ^{[ ١٩ ] [ ٢٠ ]}