पैच द प्लैनेट: एजेंट्स से मिली सुरक्षा की गंभीर कमज़ोरियों पर दुनिया भर की टीमों का मिलकर काम करना

पिछले दो महीनों में हमने मेंटेनर्स, रिसर्चर्स और सिक्योरिटी प्रोवाइडर्स के एक ग्रुप के साथ मिलकर PHP में मौजूद सुरक्षा की गंभीर कमज़ोरियों को दूर करने का काम किया. PHP एक ओपन-सोर्स प्रोग्रामिंग लैंग्वेज है, जिसका इस्तेमाल वेबसाइट्स और वेब ऐप्लिकेशन्स चलाने के लिए होता है. हमारी पैच द प्लैनेट⁠(एक नई विंडो में खुलेगा) पहल के तहत कैलिफ़ ने GPT‑5.6 Sol की मदद से एक गंभीर कमी का पता लगाया. Wiz ने भी अलग से दोनों कमियों का पता लगाकर उनकी रिपोर्ट दी. PHP के मेंटेनर्स ने इन कमियों को ठीक करने और अपडेट रिलीज़ करने का काम संभाला. हमारी टीमों और Wiz, Cloudflare जैसे पार्टनर्स ने रिसर्च, टेक्निकल सपोर्ट और आपसी तालमेल में मदद की, ताकि कमज़ोरियों की जानकारी पब्लिक करने से पहले सुरक्षा के इंतज़ाम तैयार किए जा सकें.

PHP इस्तेमाल करने वाली ऑर्गेनाइज़ेशन्स के लिए अब सबसे ज़रूरी काम इन कमियों को ठीक करने वाले अपडेट्स लागू करना है. हम Codex स्किल के तौर पर एक PHP वर्ज़न चेकर शेयर कर रहे हैं,⁠(एक नई विंडो में खुलेगा) जिसकी मदद से सिस्टम ऑपरेटर्स PHP के ऐसे वर्ज़न्स पहचान सकते हैं, जिनमें सुरक्षा की कमज़ोरियाँ हो सकती हैं. फिर PHP और अपने सर्विस प्रोवाइडर्स की गाइडेंस के आधार पर तय कर सकते हैं कि कौन-से अपडेट्स लागू करने हैं.

इन कमियों की गंभीरता और PHP के बड़े पैमाने पर इस्तेमाल को देखते हुए, हम इसे हाल के समय की सबसे ज़्यादा असर डालने वाली सुरक्षा की समस्याओं में से एक मानते हैं. इससे पता चलता है कि AI सुरक्षा की ऐसी कमियाँ ढूँढ सकता है, जिनका असर पूरे इंटरनेट पर बड़े पैमाने पर हो सकता है. लेकिन यही क्षमताएँ हमलावरों को साइबर हमलों के टूल्स और सुरक्षा कमियों का फ़ायदा उठाने वाले तरीकों को तेज़ी से डेवलप करने में भी मदद कर सकती हैं.

हमारी जानकारी के मुताबिक, हमलावरों से पहले फ़्रंटियर AI ने इन कमज़ोरियों का पता लगाया. इससे मेंटेनर्स और सिक्योरिटी प्रोवाइडर्स को एक ऐसा मौका मिला, जिसे डिफ़ेंडर्स विंडो कहा जाता है. इस दौरान वे कमियों की जानकारी पब्लिक करने से पहले उन्हें ठीक करने और सुरक्षा के इंतज़ाम तैयार करने में जुट सके.

ज़्यादा साइबर डिफ़ेंडर्स तक ये क्षमताएँ पहुँचाने के लिए हमने 'फ़्रंटलाइन डिफ़ेंडर्स के लिए Daybreak' के तहत कम कीमत पर Daybreak का एक्सेस देने के लिए 1 अरब डॉलर देने का कमिटमेंट किया है. इस पहल का फ़ोकस उन ऑर्गेनाइज़ेशन्स पर है, जो सीमित सिक्योरिटी रिसोर्सेज़ के साथ ज़रूरी सर्विसेज़ की सुरक्षा करती हैं.

ये बग्स बेहद गंभीर हैं, लेकिन ये सुरक्षा से जुड़ी उन कई बड़ी कमज़ोरियों में से कुछ हैं, जिनका हम पहले ही पता लगा चुके हैं और जिन्हें ठीक करने पर काम कर रहे हैं. हमें उम्मीद है कि आने वाले महीनों में ऐसी कमियाँ मिलने की संख्या तेज़ी से बढ़ेगी. अब तक के अपने अनुभव के आधार पर हम बड़े पैमाने पर इस्तेमाल होने वाले सॉफ़्टवेयर में सुरक्षा की गंभीर कमज़ोरियों से निपटने का एक तरीका शेयर कर रहे हैं, जिसे AI के दौर की ज़रूरतों को ध्यान में रखकर तैयार किया गया है. हम सिक्योरिटी कम्युनिटी से इस फ़्रेमवर्क को और बेहतर बनाने में मदद माँग रहे हैं. यह हमारे मॉडल्स, सिक्योरिटी एक्सपर्ट्स और मेंटेनर्स को एक साथ लाता है, ताकि मिली हुई कमियों के आधार पर सुरक्षा के उपाय तैयार किए जा सकें. साथ ही, AI की क्षमताएँ बढ़ने के साथ इन समस्याओं से बड़े पैमाने पर निपटना भी मुमकिन हो.

सुरक्षा की किसी कमज़ोरी को ठीक करने वाला अपडेट इस्तेमाल करने के लिए उसे पुराने सॉफ़्टवेयर वर्ज़न्स के हिसाब से बदलना, सर्विस प्रोवाइडर्स के लिए रिस्क कम करने के उपाय बनाना और कई ऑर्गेनाइज़ेशन्स के सिस्टम्स को अपडेट करना पड़ सकता है. एक ऐसा प्रोसेस जिसे बार-बार अपनाया जा सके, टीमों को सुरक्षा की नई कमज़ोरियाँ मिलने पर तेज़ी से कदम उठाने में मदद करता है.

पैच द प्लैनेट के ज़रिए हमने PHP की सिक्योरिटी कमज़ोरियों से निपटने के लिए अपनी सिक्योरिटी एक्सपर्टीज़ और मॉडल्स का एक्सेस दिया. साथ ही, मेंटेनर्स और रिसर्च पार्टनर्स के साथ मिलकर कमियों को ठीक करने वाले अपडेट्स टेस्ट किए और गाइडेंस तैयार की. हमने प्रभावित सिस्टम्स की सुरक्षा के लिए इंफ़्रास्ट्रक्चर प्रोवाइडर्स के साथ तालमेल बनाने में भी मदद की. इसके अलावा, सरकारी साइबर सिक्योरिटी एजेंसियों के साथ काम किया, ताकि ज़रूरी सर्विसेज़ देने वाली ऑर्गेनाइज़ेशन्स तक गाइडेंस पहुँच सके. इससे मेंटेनर्स की अगुआई में चल रहे काम को सपोर्ट मिला और दूसरे डिफ़ेंडर्स भी तैयारी कर सके.

सुरक्षा की कुछ कमज़ोरियों की जाँच करने और उन्हें ठीक करने के लिए रिसर्चर्स सीधे सॉफ़्टवेयर के मेंटेनर्स के साथ काम कर सकते हैं. लेकिन कुछ मामलों में ज़्यादा बड़े स्तर पर मिलकर काम करना पड़ता है, क्योंकि कमज़ोरियों का असर कई प्रोडक्ट्स पर होता है. इसके अलावा, डिस्ट्रीब्यूटर्स और सर्विस प्रोवाइडर्स को अपडेट्स और सुरक्षा के उपाय तैयार करने के लिए समय चाहिए होता है. अगर फ़्रंटियर AI की क्षमताएँ आम तौर पर मौजूद AI क्षमताओं से बहुत आगे नहीं हैं, तो उनके पास तैयारी के लिए कम समय हो सकता है. ऐसे मामलों में हमारा सुझाया गया फ़्रेमवर्क मेंटेनर्स को यह पहचानने में मदद कर सकता है कि किन लोगों और टीमों को शामिल करना है और उनके बीच काम का तालमेल कैसे बनाना है. इस प्रोसेस में पाँच स्टेज हो सकते हैं:

• अपस्ट्रीम में मौजूद कमज़ोरी की जाँच करें और उसे ठीक करें. मेंटेनर्स, रिसर्चर्स और ज़रूरी टेक्निकल पार्टनर्स मिलकर जाँचते हैं कि मिली हुई कमज़ोरी सच में मौजूद है या नहीं और उसका कितना असर हो सकता है. इसके बाद वे उसे ठीक करने वाला अपडेट बनाते और टेस्ट करते हैं. इस प्रोसेस में फ़्रंटियर मॉडल्स की मदद से ऐसी टेस्टिंग भी की जाती है, जिसमें पैच को बायपास करने के संभावित तरीके और उसी तरह की दूसरी कमज़ोरियाँ ढूँढी जाती हैं.

• प्रभावित ऑर्गेनाइज़ेशन्स को तैयारी का समय दें. हम ऐसा फ़्रेमवर्क सुझा रहे हैं, जिससे यह तय करने में मदद मिले कि किन ऑर्गेनाइज़ेशन्स को सुरक्षा के उपाय तैयार करने के लिए पहले से जानकारी चाहिए. हालाँकि, किसे शामिल करना है, यह फ़ैसला मेंटेनर्स करेंगे. हम संबंधित टीमों से संपर्क करने, जानकारी शेयर करने के एग्रीमेंट्स और आपसी तालमेल में मदद करते हैं. उदाहरण के लिए, कोई डिस्ट्रीब्यूटर पुराने सॉफ़्टवेयर वर्ज़न के लिए अपडेट तैयार कर सकता है, कोई होस्टिंग प्रोवाइडर रिस्क कम करने के उपाय टेस्ट कर सकता है और कोई सिक्योरिटी प्रोवाइडर खतरों की पहचान करने या उन्हें रोकने के उपाय तैयार कर सकता है. इनमें वेब ऐप्लिकेशन फ़ायरवॉल (WAF) के नियम भी शामिल हो सकते हैं.

• ज़रूरी सिस्टम्स की सुरक्षा के लिए सरकारी पार्टनर्स के साथ तालमेल बनाएँ. बड़े पैमाने पर सिक्योरिटी समस्याओं से निपटने के लिए अलग-अलग टीमों के बीच तालमेल बनाने में सरकारी एजेंसियों की अहम भूमिका होती है. वे यह पक्का करने में भी मदद करती हैं कि सिक्योरिटी गाइडेंस उन ऑर्गेनाइज़ेशन्स तक पहुँचे, जो अहम इंफ़्रास्ट्रक्चर और दूसरी ज़रूरी सर्विसेज़ संभालती हैं. PHP के मामले में हमने अपने पार्टनर्स के साथ मिलकर अमेरिकी सरकार के कई विभागों और एजेंसियों से संपर्क किया. इनमें व्हाइट हाउस की सुपर इंटेलिजेंस फ़ोर्स, ऑफ़िस ऑफ़ द नेशनल साइबर डायरेक्टर (ONCD) और साइबरसिक्योरिटी एंड इंफ़्रास्ट्रक्चर सिक्योरिटी एजेंसी (CISA) शामिल हैं. इस काम में इंटरनेशनल पार्टनर्स को भी शामिल किया गया.

• जिन प्रोडक्ट्स पर खतरा है, उनके लिए अपडेट्स तैयार करें. जैसे-जैसे कमज़ोरियों को ठीक करने के तरीके, गाइडेंस और जानकारी सबके सामने लाने के प्लान तय होते जाएँ, मेंटेनर्स ज़्यादा डिस्ट्रीब्यूटर्स, होस्टिंग और सर्विस प्रोवाइडर्स, रिस्पॉन्स टीमों और सिस्टम ऑपरेटर्स को शामिल कर सकते हैं. इससे अपडेट्स तैयार करने और सुरक्षा के इंतज़ामों में रह गई कमियों को दूर करने में मदद मिलेगी.

• पैच तैयार होने पर गाइडेंस सबके सामने लाएँ और उसे लागू करने में मदद दें. पब्लिक गाइडेंस से लोग समझ सकते हैं कि उनके सिस्टम्स पर कितना खतरा है, सही सोर्स से अपडेट्स या फ़िलहाल रिस्क कम करने के उपाय कहाँ मिलेंगे और पैच ठीक से काम कर रहा है या नहीं. सिस्टम ऑपरेटर्स जैसे-जैसे अपडेट्स लागू करते हैं और बताते हैं कि उन्हें कहाँ मदद चाहिए, यह काम जारी रहता है.

सुझाया गया फ़्रेमवर्क इस बात को ध्यान में रखता है कि किसी ऑर्गेनाइज़ेशन की सुरक्षा से जुड़ी क्या ज़िम्मेदारियाँ हैं. इनमें अपने सिस्टम्स और कस्टमर्स की सुरक्षा करना, ज़रूरी कदम उठाने में लगने वाला समय और सेंसिटिव जानकारी को सुरक्षित तरीके से संभालने की क्षमता शामिल हैं. एक जैसी ऑर्गेनाइज़ेशन्स के लिए यही बातें ध्यान में रखी जाएँगी. कमज़ोरी की जानकारी सबके सामने लाने से पहले किन्हें शामिल करना है, यह मेंटेनर्स तय करेंगे.

हर शामिल टीम को सुरक्षा से जुड़ा अपना काम करने के लिए ज़रूरी जानकारी दी जाती है. इसमें सिस्टम में सेंध लगने के संकेतों वाले नेटवर्क लॉग्स से लेकर ज़्यादा सेंसिटिव, काम करने वाले प्रूफ़-ऑफ़-कॉन्सेप्ट एक्सप्लॉइट्स तक शामिल हो सकते हैं. कम जानकारी से भी सुरक्षा की किसी कमज़ोरी का पता चल सकता है. इसलिए हम जानकारी शेयर करने के रिस्क और उससे मिलने वाली सुरक्षा, दोनों को ध्यान में रखते हैं.

इस फ़्रेमवर्क को अपनाने वाली टीमें मेंटेनर्स के साथ मिलकर काम करेंगी, ताकि डिफ़ेंडर्स को तैयारी के लिए समय मिल सके. अगर कमज़ोरी का इस्तेमाल करके असली सिस्टम्स पर हमले शुरू हो जाएँ, जानकारी लीक हो जाए, किसी पब्लिक पैच से कमज़ोरी का पता चल सकता हो या उसे ठीक करने का काम रुकने से यूज़र्स के लिए रिस्क बढ़ जाए, तो टीमें टाइमलाइन का दोबारा रिव्यू करेंगी.

सुरक्षा की जिन कमज़ोरियों को पब्लिक किया गया है और उनसे जुड़ी गाइडेंस पैच द प्लैनेट की वेबसाइट⁠(एक नई विंडो में खुलेगा) पर एक जगह मिलती है. इससे सिस्टम ऑपरेटर्स प्रभावित सिस्टम्स को पहचान सकते हैं, सही अपडेट ढूँढ सकते हैं और यह देख सकते हैं कि अपडेट किया गया सॉफ़्टवेयर ठीक से चल रहा है या नहीं. PHP के लिए वेबसाइट पर मेंटेनर्स के ऑफ़िशियल पैच, अपग्रेड करने के निर्देश और हमारे पार्टनर्स की टेक्निकल रिसर्च के लिंक दिए गए हैं. गाइडेंस में यह भी बताया गया है कि पैच आने तक रिस्क कैसे कम करें, कब किसी सर्विस प्रोवाइडर या एक्सपर्ट को शामिल करें और बैकअप व रिकवरी कैसे संभालें. फ़िलहाल के सुरक्षा उपाय रिस्क को कम कर सकते हैं, लेकिन हम उनकी सीमाएँ और उन्हें लागू करने के फ़ायदे-नुकसान भी साफ़ बताएँगे.

सिस्टम ऑपरेटर्स CISA की गाइडेंस इस्तेमाल करके तय कर सकते हैं कि किसी सिक्योरिटी कमज़ोरी को कितनी जल्दी ठीक करना चाहिए⁠(एक नई विंडो में खुलेगा). इसके लिए वे देखते हैं कि सिस्टम पर कितना असर पड़ सकता है, किस कमज़ोरी का इस्तेमाल करके हमले हो रहे हैं और उसका कितना असर पड़ सकता है. स्थिति के हिसाब से तुरंत पैच लगाना, फ़ौरन रिस्क कम करने के उपाय अपनाना या प्लान के मुताबिक अपडेट करना ज़रूरी हो सकता है. जहाँ ज़रूरत हो, वहाँ शुरुआती फ़ॉरेंसिक जाँच करके यह भी देखा जा सकता है कि सिस्टम में पहले से सेंध लगाई गई है या नहीं. हालात बदलने पर प्रायोरिटीज़ का दोबारा रिव्यू करना चाहिए और कमज़ोरी को लंबे समय के लिए दूर करने का साफ़ प्लान होना चाहिए.

दुनिया भर में मिलकर सुरक्षा की कमज़ोरियों से निपटने का काम सॉफ़्टवेयर मेंटेन करने वाले लोगों पर निर्भर करता है. कई प्रोजेक्ट्स छोटी टीमें संभालती हैं, जो रोज़मर्रा के डेवलपमेंट के साथ सिक्योरिटी रिपोर्ट्स का रिव्यू भी करती हैं. इन टीमों को नई समस्याओं और पहले से रिपोर्ट की गई समस्याओं के बीच फ़र्क करने, उनके असर को समझने और सपोर्ट किए जाने वाले अलग-अलग वर्ज़न्स पर पैच टेस्ट करने में मदद चाहिए होती है. हम फ़ंडिंग, बेहतर क्षमता वाले मॉडल्स का एक्सेस और इंजीनियरिंग में सीधे मदद देकर इस काम को सपोर्ट करते हैं.

पूरी इंडस्ट्री में AI की क्षमताएँ तेज़ी से बेहतर हो रही हैं. हमें उम्मीद है कि सुरक्षा की कमज़ोरियाँ ढूँढने, सिस्टम्स पर नज़र रखने और साइबर खतरों से निपटने में AI की भूमिका लगातार बढ़ेगी. हम मॉडल्स, टूल्स और पार्टनरशिप्स में इन्वेस्ट कर रहे हैं, ताकि डिफ़ेंडर्स इन क्षमताओं का इस्तेमाल अपने काम में कर सकें.

हमारे इन्वेस्टमेंट्स में Codex for OSS के ज़रिए सभी मेंटेनर्स को सब्सक्रिप्शन देना और Rust Foundation⁠(एक नई विंडो में खुलेगा) जैसे प्रोजेक्ट्स को सीधे स्पॉन्सर करना शामिल है. इस स्पॉन्सरशिप से मेंटेनर्स और टेक्निकल काम को सपोर्ट मिलता है. हर प्रोजेक्ट अपनी प्रायोरिटी खुद तय करता है. दोबारा इस्तेमाल किए जा सकने वाले टेस्ट्स और सिक्योरिटी वर्कफ़्लोज़ से भविष्य में मिलने वाली कमज़ोरियों से निपटने की मेहनत कम हो सकती है. ओपन-सोर्स प्रोजेक्ट्स सीधे टेक्निकल मदद पाने के लिए पैच द प्लैनेट में अप्लाई⁠(एक नई विंडो में खुलेगा) कर सकते हैं.

हम Daybreak के लिए अतिरिक्त ब्लॉकिंग क्लासिफ़ायर्स को भी बेहतर तरीके से सेट और टेस्ट कर रहे हैं, ताकि इनके गलत इस्तेमाल का रिस्क कम हो. इसमें मुश्किल फ़ैसले लेने पड़ते हैं, क्योंकि गलत इस्तेमाल रोकने के लिए बनाए गए सेफ़्टी फ़ीचर्स कभी-कभी सही सिक्योरिटी रिसर्च में भी रुकावट बन सकते हैं. बेहतर क्षमता वाले मॉडल्स का ज़्यादा लोगों तक एक्सेस पहुँचाना और उनके गलत इस्तेमाल को रोकना, दोनों ही ज़रूरी हैं. हमारा मकसद डिफ़ेंडर्स को सुरक्षा की कमज़ोरियाँ ढूँढने और ठीक करने के लिए ज़रूरी क्षमताएँ देना है, साथ ही नुकसान पहुँचाने वाले इस्तेमाल को सीमित रखना है. AI की क्षमताएँ बढ़ने और इन टूल्स के इस्तेमाल से नई बातें सीखने के साथ हम इस बैलेंस को बेहतर बनाते रहेंगे.

जैसे-जैसे मॉडल्स की क्षमताएँ बढ़ रही हैं, उनका फ़ायदा सिर्फ़ सुरक्षा की अलग-अलग कमज़ोरियों को ढूँढने और उन्हें ठीक करने तक सीमित नहीं रह गई है. हम इंजीनियर्स को शुरुआत से ही ज़्यादा सुरक्षित सॉफ़्टवेयर बनाने में मदद करना चाहते हैं. बड़े पैमाने पर इस्तेमाल होने वाले किसी सॉफ़्टवेयर कंपोनेंट में सुधार करके कई प्रोडक्ट्स और सर्विसेज़ में बग्स को रोका जा सकता है या उनका असर कम किया जा सकता है.

इंजीनियर्स को मौजूदा कोड समझने, उसमें बदलाव तैयार करने और टेस्ट्स बनाने में AI मदद कर सकता है. वहीं, मेंटेनर्स और सिक्योरिटी एक्सपर्ट्स यह देख सकते हैं कि इन बदलावों के बाद भी सॉफ़्टवेयर के वे फ़ीचर्स पहले की तरह काम कर रहे हैं या नहीं, जिन पर यूज़र्स निर्भर करते हैं. हमें कई क्षेत्रों में इसके इस्तेमाल के मौके दिख रहे हैं:

• शुरुआत से ही सुरक्षित कोड लिखें. कोडिंग मॉडल्स डेवलपर्स को ज़्यादा सुरक्षित डिफ़ॉल्ट सेटिंग्स चुनने, सिक्योरिटी लाइब्रेरीज़ सही तरीके से इस्तेमाल करने और कोड लिखते समय रिस्क वाले पैटर्न पहचानने में मदद कर सकते हैं. डेवलपमेंट के दौरान ही सुरक्षा की कमज़ोरियाँ रोकने से मेंटेनर्स और यूज़र्स को बाद में कम इमरजेंसी फ़िक्स करने पड़ेंगे.

• मेमोरी-सेफ़ सॉफ़्टवेयर. अहम सॉफ़्टवेयर कंपोनेंट्स को मेमोरी-सेफ़ प्रोग्रामिंग लैंग्वेज में बदलने से मेमोरी से जुड़ी कई आम गड़बड़ियाँ दूर की जा सकती हैं. AI इस माइग्रेशन में मदद कर सकता है. साथ ही, टेस्ट्स और एक्सपर्ट रिव्यू से यह देखा जा सकता है कि सॉफ़्टवेयर सही तरीके से काम कर रहा है और दूसरे सिस्टम्स के साथ कम्पैटिबल है या नहीं.

• फ़ॉर्मल वेरिफ़िकेशन. मैथमैटिकल प्रूफ़्स की मदद से यह दिखाया जा सकता है कि तय किए गए अनुमानों के सही होने पर अहम सॉफ़्टवेयर कंपोनेंट्स सिक्योरिटी से जुड़ी खास शर्तें पूरी करते हैं. बड़े पैमाने पर इस्तेमाल होने वाले कंपोनेंट्स पर ये तरीके अपनाने से उन पर निर्भर सर्विसेज़ और अहम इंफ़्रास्ट्रक्चर में सुरक्षा की कई तरह की कमज़ोरियों को रोका जा सकता है.

• ज़्यादा मज़बूत आइसोलेशन. सिस्टम्स को सुरक्षा की ऐसी कमज़ोरियों से भी सुरक्षित रखना ज़रूरी है, जिनका अभी तक पता नहीं चला है या जिन्हें ठीक नहीं किया गया है. अनजान या भरोसेमंद न मानी जाने वाली फ़ाइलें, इमेज और मीडिया को प्रोसेस करने वाले सॉफ़्टवेयर को कड़ी पाबंदियों वाले सैंडबॉक्स में चलाने से सिस्टम में सेंध लगने पर होने वाला नुकसान सीमित किया जा सकता है. AI इंजीनियर्स को बड़े पैमाने पर इस्तेमाल होने वाली सैंडबॉक्सिंग टेक्नोलॉजी टेस्ट करने और उन्हें ज़्यादा मज़बूत बनाने में मदद कर सकता है. इससे कई ऐप्लिकेशन्स की सुरक्षा बेहतर हो सकती है.

हम अपना तरीका शेयर कर रहे हैं, ताकि मेंटेनर्स, रिसर्चर्स, रिस्पॉन्स टीमें, सर्विस प्रोवाइडर्स और सिस्टम ऑपरेटर्स इसे प्रैक्टिकल बनाने में मदद कर सकें. हम समझना चाहते हैं कि यह तरीका कहाँ काम आएगा, कहाँ इसकी वजह से देरी या अतिरिक्त काम बढ़ सकता है और किन बातों पर हमने ध्यान नहीं दिया है. सुरक्षा की जिन कमज़ोरियों को पहले पब्लिक किया गया है, उनके उदाहरण खास तौर पर मददगार होंगे.

हम खास तौर पर इनके लिए सुझाव चाहते हैं:

• जानकारी पब्लिक करने से पहले का समय. मेंटेनर्स, सिस्टम ऑपरेटर्स और डिफ़ेंडर्स को भरोसेमंद फ़िक्स तैयार करने और लागू करने के लिए कितना समय चाहिए? किन सबूतों के आधार पर सुरक्षा की किसी कमज़ोरी की जानकारी पहले पब्लिक करनी चाहिए, खासकर तब जब कुछ यूज़र्स को दूसरों से पहले सुरक्षित किया जा सकता हो?

• इमरजेंसी पैचिंग. अगर कभी ज़रूरत पड़े, तो एडमिन एक्सेस खोने के बाद सरकारों या दूसरे सिस्टम ऑपरेटर्स को सुरक्षा की किसी कमज़ोरी का इस्तेमाल करके अपने या अपनी देखरेख वाले सिस्टम्स में पैच लगाना चाहिए? इसके लिए कौन-से सेफ़्टी नियम होने चाहिए? भविष्य में ऐसा सिस्टम हो सकता है, जो पूरे इंटरनेट पर लगातार सुरक्षा की जानी-पहचानी कमज़ोरियों को स्कैन करे. कोई कमज़ोरी मिलने पर वह वेबसाइट के ओनर को सूचना दे या सिस्टम में पैच लगा दे.

• पहले से सूचना देना. सुरक्षा के ज़रूरी कदम उठाने के लिए किन लोगों या टीमों को पहले से अलर्ट मिलना चाहिए? इनमें ऐसे डिफ़ेंडर्स भी शामिल हैं, जिन तक शायद हम नहीं पहुँच पाएँ. कब अलग-अलग स्टेज में नोटिफ़िकेशन्स देना, एक साथ बड़े ग्रुप को जानकारी देने से बेहतर होता है? और ज़्यादा लोगों तक जानकारी पहुँचाने के फ़ायदे और उसके लीक होने के रिस्क के बीच बैलेंस कैसे बनाएँ?

• डिफ़ॉल्ट तौर से सुरक्षित सॉफ़्टवेयर पैकेज. जब मुख्य सोर्स सॉफ़्टवेयर में कमज़ोरियों को ठीक करने वाले अपडेट्स तैयार हो रहे हों, तब उन पर आधारित दूसरे पैकेज में सुरक्षा की कमज़ोरियाँ पहचानने और ठीक करने में कैसे मदद की जा सकती है? या उन पुराने वर्ज़न्स में फ़िक्स कैसे जोड़े जा सकते हैं, जिन्हें अब सिक्योरिटी अपडेट्स नहीं मिलते? जब समय पर अपग्रेड करना मुमकिन न हो, तो किस तरह की टेस्टिंग और मेंटेनेंस से इन पैकेज को भरोसेमंद ऑप्शन बनाया जा सकता है?

हम ऐसे इंडिपेंडेंट सिक्योरिटी एक्सपर्ट्स के सुझावों का भी स्वागत करते हैं, जो इस तरीके का रिव्यू कर सकें, इसके पीछे के अनुमानों पर सवाल उठा सकें और कमियाँ पहचान सकें. आपके सुझाव हमें इस प्रोसेस को बेहतर बनाने और यह तय करने में मदद करेंगे कि सबसे पहले कहाँ सपोर्ट देना चाहिए. अपना फ़ीडबैक यहाँ शेयर करें⁠(एक नई विंडो में खुलेगा).