ČLANKI
CRA spremeni izdelek v zavezo za podporo
Proizvajalci berejo Akt o kibernetski odpornosti kot oviro pri certificiranju. Bližje je garanciji — taki, ki teče še leta po prodaji.
Dolžnost se ne konča na nakladalni rampi
CRA zahteva, da so izdelki z digitalnimi elementi dobavljeni brez znanih izkoristljivih ranljivosti, nato pa tudi podprti: obravnava ranljivosti, varnostne posodobitve in izpolnjevanje obveznosti poročanja v obdobju podpore, ki ga razglasite.
To je poslovna odločitev, preoblečena v tehnično. Razglasite pet let in ste zaposlili petletno obveznost za vsako prodano enoto, tudi za tiste, ki stojijo v distributerjevem skladišču.
Potrebujete pot, po kateri vam to povedo
Postopek obravnave ranljivosti pomeni, da vas nekdo lahko doseže. Objavljena kontaktna točka in politika usklajenega razkritja sta najcenejši del celotne uredbe in najbolj viden znak, da obstaja tudi preostanek — zato raziskovalec to preveri, preden se odloči, ali se mu prijava pri vas sploh splača.
Svojo objavljamo na /.well-known/security.txt prav zaradi tega.
Dolgočasne ugotovitve so tiste, ki grizejo
V praksi tisto, kar izdelek podre na pregledu, ni eksotično. Skupna ali privzeta gesla čez celotno serijo, dosegljivi razhroščevalni in servisni vmesniki, posodobitveni mehanizmi brez preverjanja podpisa in nobenega popisa tuje kode v strojni programski opremi.
Vse štiri je ceneje popraviti ob načrtovanju kot ob odpoklicu, in vse štiri se pokažejo v enem popoldnevu testiranja.