Firma NVIDIA poważnie podchodzi do kwestii bezpieczeństwa i stara się szybko oszacowywać i rozwiązywać związane z nim problemy. Gdy zgłaszane jest potencjalne naruszenie bezpieczeństwa, firma NVIDIA angażuje odpowiednie zasoby, aby dany problem przeanalizować, zweryfikować i podjąć odpowiednie działania mające na celu jego rozwiązanie.
NVIDIA PSIRT – zarządzanie informacjami o lukach w zabezpieczeniach Zgłaszanie informacji na temat potencjalnych luk w zabezpieczeniach Skoordynowany program ujawniania luk w zabezpieczeniach Subskrypcja biuletynów i aktualizacji zabezpieczeń Zapytania od mediów i przedstawicieli agencji PR dotyczące informacji o lukach w zabezpieczeniach firmy NVIDIA Proces zarządzania informacjami o lukach w zabezpieczeniach NVIDIA PSIRT Ocena ryzyka związanego z zabezpieczeniami przy użyciu systemu CVSS (Common Vulnerability Scoring System) Polityka komunikacji związanej z lukami w zabezpieczeniach Biuletyny dotyczące bezpieczeństwa Ogłoszenia dotyczące bezpieczeństwa Wykrywanie i eliminowanie luk w zabezpieczeniach NVIDIA PSIRT Participation Prawa klienta: gwarancje, wsparcie, konserwacja Zrzeczenie się
Celem zespołu ds. reagowania na incydenty naruszeń bezpieczeństwa produktu NVIDIA (PSIRT - Product Security Incident Response Team) jest minimalizowanie ryzyka klientów związanego z lukami w zabezpieczeniach poprzez dostarczanie aktualnych informacji i wskazówek oraz usuwanie luk w zabezpieczeniach naszych produktów. NVIDIA PSIRT to globalny zespół odpowiedzialny za przyjmowanie zgłoszeń dotyczących bezpieczeństwa produktów, prowadzenie dochodzeń, wewnętrzną koordynację, usuwanie luk w zabezpieczeniach i ujawnianie informacji na temat luk w zabezpieczeniach produktów NVIDIA.
Jednym z kluczowych zadań zespołu NVIDIA PSIRT jest ujawnianie informacji na temat wszystkich zidentyfikowanych zewnętrznie luk w zabezpieczeniach produktów NVIDIA oraz reagowanie na takie zgłoszenia.
Firma NVIDIA przyjmuje raporty od niezależnych badaczy, organizacji branżowych, dostawców, klientów i innych źródeł dysponujących informacjami na temat bezpieczeństwa produktu.
Aby dowiedzieć się więcej na temat zgłaszania potencjalnych luk w zabezpieczeniach, odwiedź stronę poświęconą zgłaszaniu luk w zabezpieczeniach.
Firma NVIDIA stara się wypełniać założenia strategii CVD - Coordinated Vulnerability Disclosure. CVD to proces, w ramach którego niezależne osoby, które odkryły lukę w zabezpieczeniach naszego produktu, mogą skontaktować się bezpośrednio z firmą NVIDIA i umożliwić nam zbadanie sprawy oraz usunięcie luki w zabezpieczeniach zanim osoba, która wykryła daną lukę ujawni te informacje publicznie.
Zespół NVIDIA PSIRT będzie współpracować w trakcie dochodzenia z osobą zgłaszającą lukę oraz w stosownych przypadkach dostarczać bieżących informacji na temat postępów w sprawie. Za zgodą zgłaszającego, zespół NVIDIA PSIRT może umieścić informacje o nim na naszej stronie z podziękowaniami za wykrycie aktualnej luki w zabezpieczeniach produktu i zgłoszenie tej informacji bezpośrednio naszej firmie. Po opublikowaniu przez firmę NVIDIA informacji o złagodzeniu luki w zabezpieczeniach lub wydaniu aktualizacji jej dotyczącej, zachęcamy zgłaszającego do publicznego jej omówienia.
Stosowanie strategii CVD pozwala firmie NVIDIA chronić swoich klientów i jednocześnie ujawniać publicznie informacje dotyczące bezpieczeństwa oraz odpowiednio honorować osobę, która wykryła daną lukę.
Jeśli zgłaszana luka w zabezpieczeniach dotyczy produktu dostawcy, zespół NVIDIA PSIRT powiadomi o tym dostawcę bezpośrednio, skontaktuje go z osobą zgłaszającą lub zaangażuje ośrodek koordynacyjny strony trzeciej.
Lista opublikowanych biuletynów dotyczących bezpieczeństwa znajduje się na stronie Biuletyny dotyczące bezpieczeństwa NVIDIA.
Zaleca się, aby klienci subskrybowali powiadomienia o Biuletynach dotyczących bezpieczeństwa NVIDIA w celu otrzymywania informacji o wstępnych wydaniach oraz istotnych poprawkach do Biuletynów dotyczących bezpieczeństwa NVIDIA.
Subskrypcję powiadomień możesz zamówić tutaj.
Aby uzyskać informacje na temat Biuletynów dotyczących bezpieczeństwa NVIDIA, zapoznaj się z sekcją Biuletyn dotyczący bezpieczeństwa niniejszego dokumentu.
Skorzystaj z wymienionych tutaj kontaktów w ramach Komunikacji korporacyjnej.
Poniższa grafika ilustruje proces postępowania zespołu NVIDIA PSIRT na wysokim szczeblu.
Ilustracja 1. Proces postępowania zespołu NVIDIA PSIRT (Product Security Incident Response Team)
Do oceny istotności zidentyfikowanych luk w zabezpieczeniach, firma NVIDIA wykorzystuje obecnie system Common Vulnerability Scoring System w wersji 3.0 (CVSS v3.0). System CVSS umożliwia zastosowanie metody wspólnej punktacji i wspólnego języka w celu określenia charakterystyki oraz skutków obecności luk w zabezpieczeniach. System CVSS ma za zadanie ocenę zagrożeń wynikających z danej luki w zabezpieczeniach. Model CVSS wykorzystuje trzy różne oceny i wyniki, na które składają się obliczenia bazowe, czasowe i środowiskowe - każde z nich opiera się na zestawie metryk. Pełny opis standardu, który jest utrzymywany przez organizację Forum of Incident Response and Security Teams (FIRST), można znaleźć pod adresem: https://www.first.org/cvss.
Firma NVIDIA stosuje się do wytycznych zawartych w dokumencie CVSS v3.0 Specification Document Qualitative Severity Rating Scale (https://www.first.org/cvss/specification-document) w celu określenia istotności luk, klasyfikując je zgodnie z poniższą tabelą:
W określonych przypadkach firma NVIDIA zastrzega sobie prawo do odstąpienia od niniejszych wytycznych, jeśli dodatkowe czynniki nie zostaną prawidłowo uwzględnione w wyniku CVSS.
W stosownych przypadkach, Biuletyny dotyczące bezpieczeństwa NVIDIA zawierać będą uzyskany w oparciu o system CVSS v3.0 wynik bazowy i ewentualnie wynik czasowy. Ocena ryzyka firmy NVIDIA opiera się na uśrednionych wynikach uzyskanych za pomocą różnych systemów i nie musi odzwierciedlać rzeczywistego ryzyka dotyczącego Twojej lokalnej instalacji.
Firma NVIDIA zaleca skonsultowanie się ze specjalistą IT lub specjalistą ds. bezpieczeństwa w celu oceny ryzyka dotyczącego Twojej konkretnej konfiguracji i zachęca do wyliczenia oceny środowiska w oparciu o parametry Twojej sieci. Firma NVIDIA zaleca, aby w celu oceny ogólnego ryzyka wszyscy klienci brali pod uwagę wynik bazowy oraz wynik czasowy i/lub środowiskowy, który może mieć zastosowanie w ich otoczeniu. Taki ogólny wynik uwzględnia parametr czasowy i jest adekwatny do Twojego konkretnego środowiska. Aby odpowiednio reagować w swoim środowisku, powinieneś uwzględnić ten końcowy wynik, a także ocenę specjalisty ds. bezpieczeństwa lub specjalisty IT.
W celu określenia odpowiedniej strategii komunikacji, firma NVIDIA stosuje się do następujących wytycznych dotyczących luk w zabezpieczeniach oprogramowania nienależącego do stron trzecich:
W przypadku wystąpienia problemu związanego z bezpieczeństwem komponentu oprogramowania strony trzeciej, który jest wykorzystany w produkcie firmy NVIDIA, firma NVIDIA może opublikować biuletyn dotyczący bezpieczeństwa. Jeśli publikowany jest biuletyn dotyczący bezpieczeństwa w związku z luką w zabezpieczeniach komponentu oprogramowania strony trzeciej, firma NVIDIA wykorzystuje zazwyczaj wynik CVSS uzyskany przez twórcę komponentu. W niektórych przypadkach firma NVIDIA może skorygować wynik CVSS tak, aby odzwierciedlał wpływ na produkt NVIDIA.
W większości przypadków firma NVIDIA będzie informować klientów, gdy zidentyfikowany zostanie praktyczny sposób obejścia luki w zabezpieczeniach lub zostanie wydana aktualizacja zabezpieczeń. Powiadomienie odbywa się w ramach ukierunkowanej komunikacji lub poprzez publikację Biuletynu związanego z bezpieczeństwem. Przed publikacją Biuletynu związanego z bezpieczeństwem zespół NVIDIA PSIRT zakończy dochodzenie w sprawie wykrytej luki i ustali, że istnieją odpowiednie aktualizacje oprogramowania lub metody obejścia luki w zabezpieczeniach, bądź też planowane jest publiczne ujawnienie środków zaradczych w celu wyeliminowania luki w zabezpieczeniach.
Biuletyny dotyczące bezpieczeństwa mają za zadanie dostarczanie wyważonych informacji, które zapewnią klientom wystarczająco szczegółowe dane, aby mogli się zabezpieczyć, pomijając jednak te informacje, które mogłyby zostać wykorzystane przez szkodliwych użytkowników. W stosownych przypadkach Biuletyny dotyczące bezpieczeństwa NVIDIA zawierają zwykle następujące informacje:
Firma NVIDIA nie będzie dostarczać żadnych dodatkowych informacji o specyfice luk w zabezpieczeniach, poza informacjami podanymi w Biuletynie dotyczącym bezpieczeństwa oraz powiązanej dokumentacji obejmującej informacje o wersji, artykuły z bazy wiedzy, często zadawane pytania itp. Firma NVIDIA nie rozpowszechnia kodu exploita/proof of concept dla zidentyfikowanych luk w zabezpieczeniach.
Zgodnie z obowiązującymi w branży praktykami, firma NVIDIA nie udostępnia podmiotom zewnętrznym wyników wewnętrznych testów zabezpieczeń ani innych rodzajów działań związanych z bezpieczeństwem. Każdy przypadek skanowania systemów bezpieczeństwa firmy NVIDIA zostanie uznany za atak. Jeśli jesteś partnerem OEM, w razie potrzeby możesz konsultować się ze swoim menedżerem NVIDIA.
Biuletyny dotyczące bezpieczeństwa NVIDIA publikowane są na stronie Biuletynów dotyczących bezpieczeństwa. Subskrypcję powiadomień możesz zamówić tutaj.
Ogłoszenia dotyczące bezpieczeństwa
Firma NVIDIA może wydać specjalne ogłoszenie, aby szybko i odpowiednio zareagować w sytuacji, gdy daną lukę w zabezpieczeniach ujawniono publicznie przed szerokim gronem odbiorców lub jeśli prawdopodobne jest istnienie programów wykorzystujących daną lukę (exploit) albo zachodzi podejrzenie, że dana luka w zabezpieczeniach zostanie aktywnie wykorzystana. W takich przypadkach firma NVIDIA może przyspieszyć publikację odpowiednich informacji, a także może, choć nie musi, dołączyć do nich kompletny zestaw poprawek lub metod obejścia danej luki. Informacje takie będą publikowane jako Ogłoszenia dotyczące bezpieczeństwa na stronie Biuletynów dotyczących bezpieczeństwa.
Firma NVIDIA poważnie podchodzi do kwestii bezpieczeństwa i stara się odpowiednio oszacowywać i rozwiązywać związane z nim problemy. Czas oczekiwania na odpowiedź zależy od wielu czynników, w tym: istotności zgłaszanej luki, zagrożonego produktu, aktualnego cyklu produkcyjnego, cyklów kontroli jakości oraz od tego, czy dany problem może zostać rozwiązany wyłącznie w formie dużej aktualizacji.
Proces naprawczy może uwzględniać jedną lub kilka z poniższych form:
Niezależnie od powyższego, NVIDIA nie gwarantuje konkretnego rozwiązania problemów i nie wszystkie zidentyfikowane problemy mogą być rozwiązane.
Proud Member of
NVIDIA is a CVE Numbering Authority.
Prawa klientów firmy NVIDIA w zakresie gwarancji i wsparcia technicznego, w tym luk w zabezpieczeniach, dotyczących dowolnego oprogramowania firmy NVIDIA, są regulowane odpowiednią umową między firmą NVIDIA, a każdym klientem.
Oświadczenia na tej stronie nie modyfikują ani nie rozszerzają żadnych praw klienta ani nie tworzą żadnych dodatkowych gwarancji. Wszelkie informacje przekazywane firmie NVIDIA dotyczące luk w zabezpieczeniach produktów NVIDIA, w tym wszystkie informacje zawarte w zgłoszeniu dotyczącym luki w zabezpieczeniach produktu, stają się informacjami dostępnymi wyłącznie dla firmy NVIDIA.
Wszystkie aspekty dotyczące procesu postępowania i zasad zespołu PSIRT firmy NVIDIA mogą ulec zmianie bez powiadomienia i indywidualnie dla każdego przypadku. Udzielenie odpowiedzi nie jest gwarantowane dla żadnego konkretnego problemu ani rodzajów problemów. Wykorzystanie informacji zawartych w dokumencie lub materiałach powiązanych z dokumentem odbywa się na własne ryzyko. Firma NVIDIA zastrzega sobie prawo do zmiany lub aktualizacji tego dokumentu bez powiadomienia i w dowolnym momencie.
WSZELKIE DOSTARCZANE PRZEZ FIRMĘ NVIDIA INFORMACJE, SPECYFIKACJE PROJEKTOWE, INFORMACJE DODATKOWE, PLIKI, RYSUNKI, TESTY DIAGNOSTYCZNE, SPISY I INNE DOKUMENTY (ŁĄCZNIE I ODDZIELNIE "MATERIAŁY") SĄ DOSTARCZANE NA ZASADZIE "JAK JEST". FIRMA NVIDIA NIE UDZIELA ŻADNYCH GWARANCJI, WYRAŹNYCH,DOMNIEMANYCH, WYNIKAJĄCYCH Z PRZEPISÓW ANI INNYCH W ODNIESIENIU DO MATERIAŁÓW I W MAKSYMALNYM ZAKRESIE DOZWOLONYM PRZEZ PRAWO WYŁĄCZA WSZELKIE WYRAŹNE LUB DOMNIEMANE WARUNKI, OŚWIADCZENIA I GWARANCJE W TYM WSZELKIE GWARANCJE DOROZUMIANE CO DO NARUSZEŃ PRAW AUTORSKICH, MOŻLIWOŚCI SPRZEDAŻY, SATYSFAKCJONUJĄCEJ JAKOŚCI, PRZYDATNOŚCIDO OKREŚLONEGO CELU I NIENARUSZALNOŚCI.
Dołożono wszelkich starań, aby informacje podane w niniejszym dokumencie były dokładne i rzetelne. Jednakże firma NVIDIA Corporation nie ponosi odpowiedzialności za konsekwencje wykorzystania tych informacji bądź za naruszenie patentów lub innych praw stron trzecich wynikające z wykorzystania podanych tu informacji. Firma NVIDIA Corporation nie przyznaje żadnych dorozumianych lub innych praw licencyjnych w zakresie praw patentowych. Dane techniczne zawarte w niniejszej publikacji mogą ulec zmianie bez uprzedzenia. Niniejsza publikacja zastępuje wszelkie poprzednio udostępnione informacje. Niedozwolone jest stosowanie produktów firmy NVIDIA Corporation jako podstawowych podzespołów w urządzeniach lub systemach ratujących życie bez pisemnej zgody firmy NVIDIA Corporation.