구글의 사이버 보안 팀인 '프로젝트 제로'에서 취약점 공표 정책에 변화를 시도한다.
공식 블로그를 통해 업데이트된 내용에 따르면, 프로젝트 제로는 지금까지 취약점이 확인되면 해당 업체에 최대 90일간의 대응 기간을 주고, 그 이후 해결 여부와 상관없이 취약점 내용을 공개해 관련 업계의 대응과 함께 사용자들의 주의를 촉구했다.
그에 반해 2020년부터 시범 적용 중인 새로운 정책의 핵심은 취약점 공표까지 최소 90일의 대응 기간을 부여한다. 즉, 기존에는 업체 통보 후 그 이전에 문제를 해결할 경우 바로 관련 내용을 공표했지만, 바뀐 정책에 따르면 90일 이전에 취약점 대응이 이뤄져도 90일이 지난 이후에 관련 내용을 공개한다.
이는 업체의 초기 대응에 업데이트가 필요한 상황이 발생하거나, 관련 업체들이 취약점 패치를 적용할 기간을 제공해, 공개된 취약점 패치를 미처 적용하지 못한 상태에서 관련 내용이 공표되어 공격의 타겟이 되는 문제를 줄이기 위한 것이다.
바뀐 정책은 2020년 한 해 동안 시범 적용되고, 연말에 당초 목적에 부합되었는지 재 평가될 예정이다. |
